如何强制Chrome/Edge等浏览器不缓存证书以重新弹出证书选择弹窗

Chromium内核的Chrome/Edge浏览器默认会对「站点+端口」组合缓存已选中的客户端证书，缓存生命周期和当前浏览器进程绑定，这就是你清空服务端会话后仍然无法触发证书选择弹窗的核心原因，可通过以下几种方案解决：

方案1：浏览器侧配置（适合内部测试场景） #

• 给浏览器添加启动参数--ssl-client-certificate-selector=lock，该参数会强制浏览器每次访问需要客户端证书校验的站点时，都弹出证书选择窗口，不会复用之前的选择
• 操作方法：右键浏览器快捷方式，选择「属性」，在「目标」字段的末尾加空格后填入上述参数，保存后用该快捷方式打开浏览器即可生效，仅对当前启动的浏览器实例生效，不会影响普通模式打开的浏览器

方案2：服务端配置（适合生产场景，用户无需修改浏览器） #

• 调整服务端TLS握手配置，禁用TLS会话复用，包括关闭会话ID缓存、禁用TLS会话票据（Session Ticket），强制每次连接都走完整的客户端证书校验流程
• 以Nginx为例，可在对应的8443端口server块中添加以下配置：

  ssl_session_cache off;
  ssl_session_tickets off;
  # 其余证书校验配置保持你原有逻辑即可
  

• 注意：关闭TLS会话复用会轻微提升每次HTTPS请求的握手耗时，可根据业务场景权衡性能与需求

方案3：前端触发方案（仅企业内部场景可用） #

• 如果是前端页面主动触发的请求，可调用Chromium专属APIchrome.enterprise.platformKeys.refreshCertificates()强制刷新证书缓存，触发选择弹窗，但该API仅企业部署的受信任站点/扩展有权限调用，普通公网站点无法使用

内容的提问来源于stack exchange，提问作者Aigeth Magendran