Apache中SSLVerifyClient指令是否可在<Location /xxx>配置块中指定？

问题根因 #

你遇到的配置不生效问题，和SSL握手的执行时机直接相关：默认情况下，Apache的SSL客户端证书校验发生在TLS握手阶段，此时请求的URI路径还未被解析匹配，Location块的配置规则尚未加载，因此全局之外的路径级SSL验证规则不会在首次握手时生效。
你查到的「SSLVerifyClient仅支持服务器级或目录级配置」是旧版Apache的限制，Apache 2.4版本已经支持在Location块中配置该指令，但需要配合SSL重协商功能使用。

修复方案 #

你需要在VirtualHost配置中开启SSL可选重协商参数，调整后的完整配置参考如下：

<VirtualHost *:443>
    # 基础SSL配置（证书、密钥等）省略
    SSLEngine on
    SSLCertificateFile /path/to/server.crt
    SSLCertificateKeyFile /path/to/server.key
    SSLCACertificateFile /path/to/ca.crt

    # 全局默认不校验客户端证书
    SSLVerifyClient none
    SSLVerifyDepth 1
    # 开启SSL重协商，支持路径级校验规则生效
    SSLOptions +OptRenegotiate

    <Location /abc>
        SSLVerifyClient none
    </Location>

    <Location /xyz>
        # 需强制校验有效证书的话可改为 SSLVerifyClient require
        SSLVerifyClient optional
        # 可搭配规则限制仅证书校验通过的请求可访问
        # Require ssl-verify-client
    </Location>
</VirtualHost>

注意：测试前请清空浏览器SSL缓存或使用无痕模式访问，避免之前的握手缓存导致配置验证结果不准。

生效效果 #

配置调整并重启Apache后即可实现预期效果：

• 访问/abc路径：不会触发客户端证书弹窗
• 访问/xyz路径：TLS首次握手完成后，Apache会触发SSL重协商，弹出客户端证书选择窗口

内容的提问来源于stack exchange，提问作者jstack100