NodeJS使用证书与RSA密钥获取OAuth Token时SSL握手失败问题排查

SSL alert number 40属于mTLS握手阶段的服务端主动拒绝错误，基于你给出的场景，常见原因如下：

• 证书/密钥格式或匹配异常：替换换行符的逻辑如果和原字符串的转义规则不匹配，会破坏PEM格式的证书、密钥结构；如果混用了不配对的证书和私钥，也会直接触发握手失败。
• 缺少服务端CA根证书配置：如果OAuth服务端使用自签名证书或内部CA签发的证书，NodeJS默认信任根证书列表中没有对应CA，会在校验服务端证书环节中断握手。
• TLS协议/加密套件不兼容：目标服务可能限制了支持的TLS最低版本（如要求TLS 1.2及以上），当前NodeJS环境的默认TLS配置不符合服务端要求。
• 身份校验不通过：云环境生成的证书未完成生效、绑定的客户端ID和请求中传的CLIENT_ID不一致、证书已过期或被吊销，都会导致服务端校验客户端身份时拒绝握手。

1. 校验证书和密钥的有效性
   将CLIENT_CERTIFICATE和CLIENT_CERTIFICATE_KEY的内容分别写入本地client.crt和client.key文件，用openssl命令校验二者是否配对：

openssl x509 -noout -modulus -in client.crt | openssl md5
openssl rsa -noout -modulus -in client.key | openssl md5

两个命令输出的MD5值必须完全一致，同时确认证书、密钥的头尾标记（如-----BEGIN CERTIFICATE-----）完整，没有多余的空格或转义字符。

2. 补充CA根证书配置
   如果服务端使用非公共CA签发的证书，将对应CA根证书添加到https.Agent配置中：

httpsAgent:new https.Agent({
    cert: CLIENT_CERTIFICATE.replace(/\\n/g, '\n'),
    key: CLIENT_CERTIFICATE_KEY.replace(/\\n/g, '\n'),
    ca: CA_CERT_CONTENT.replace(/\\n/g, '\n')
})

注意：仅在本地测试时可临时添加rejectUnauthorized: false跳过证书校验，生产环境必须配置正确的CA证书。

3. 强制指定TLS版本
   在Agent配置中指定最低支持的TLS版本，适配服务端要求：

httpsAgent:new https.Agent({
    cert: CLIENT_CERTIFICATE.replace(/\\n/g, '\n'),
    key: CLIENT_CERTIFICATE_KEY.replace(/\\n/g, '\n'),
    minVersion: 'TLSv1.2'
})

4. 核对服务端配置匹配项
   确认请求的CERTIFICATE_URL是云服务商指定的mTLS专属接入端点，证书绑定的客户端ID和请求参数中的CLIENT_ID一致，证书处于有效期内且未被平台吊销。

另外你代码中的错误处理存在笔误，error = error | new Error(body)应修改为error = error || new Error(body)，按位或操作会导致错误对象异常，但该问题不影响本次SSL握手逻辑。

内容的提问来源于stack exchange，提问作者Atharva