浏览器请求两张证书而非一张的问题解决方案咨询

问题背景 #

我有两个不同域名的应用：

• 后端ASP.NET MVC应用部署在IIS，域名示例：www.backend.com
• 前端Angular应用部署在云端Nginx，域名示例：www.frontend.com

两个服务均启用客户端证书验证：

• 后端证书验证配置在IIS中
• 前端证书验证配置在Nginx中

用户访问时，加载前端Nginx会触发证书选择弹窗；前端调用后端接口时，后端再次触发证书弹窗，用户体验极差（若仅单份证书浏览器可自动选择，但多份证书时需重复选择）。需求是用同一份证书完成所有验证，且不能移除现有证书。

方案1：前端传递证书到后端？ #

不可行。
浏览器的客户端证书验证是TLS握手阶段的操作，发生在HTTP请求之前，完全由浏览器底层控制。前端JavaScript无法获取用户选择的证书内容，也无法在后续请求中主动将证书传递给后端。不同域名的请求会触发独立的TLS握手，这一过程前端代码无法干预。

方案2：通过代理/负载均衡合并域名（可行） #

核心思路：将前端和后端请求统一到同一个域名下，用路径区分服务。这样浏览器只会在首次访问时触发一次证书选择，后续同域名的请求会自动复用已选证书。

Nginx反向代理配置示例 #

假设统一域名为www.unified.com，配置Nginx作为反向代理，通过路径区分前端和后端服务：

server {
    listen 443 ssl;
    server_name www.unified.com;

    # 客户端证书验证配置（和原前端Nginx的验证规则一致）
    ssl_client_certificate /path/to/root-ca.crt;
    ssl_verify_client on;
    ssl_verify_depth 1;

    # 转发前端静态资源请求到原前端服务
    location / {
        proxy_pass https://www.frontend.com;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        # 可选：将客户端证书信息传递给前端服务
        proxy_set_header X-Client-Cert $ssl_client_cert;
    }

    # 转发后端API请求到原IIS服务
    location /api {
        proxy_pass https://www.backend.com/api;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        # 传递客户端证书相关信息给后端，替代后端的直接证书验证
        proxy_set_header X-Client-Cert $ssl_client_cert;
        proxy_set_header X-Client-Verify $ssl_client_verify;
        proxy_set_header X-Client-DN $ssl_client_s_dn;
    }
}

关键注意事项 #

1. 修改原后端IIS配置：关闭直接的客户端证书验证，改为通过代理传递的X-Client-Cert等请求头验证证书有效性。
2. 安全加固：后端需要添加逻辑验证请求来源为信任的代理，防止证书头被篡改。
3. 证书适配：统一域名的SSL证书需覆盖原两个域名，可使用多域名证书或通配符证书。

内容的提问来源于stack exchange，提问作者Cenarius