客户端证书认证中为何需要向curl传入Client Private Key？

你提到的--key参数传入的客户端私钥，作用是证明你是对应客户端证书的合法持有者，属于双向TLS认证的身份校验环节，和「用服务端公钥加密传输内容」是两个完全独立的逻辑，不存在冲突。

具体原理可以分两个环节拆解： #

• 你认知中「用服务端公钥加密」的步骤是所有TLS连接的通用逻辑：不管是单向还是双向认证，客户端都会用服务端证书里的公钥加密后续通信要用的对称密钥，确保只有持有对应私钥的服务端才能解密拿到对称密钥，这个步骤在双向认证场景下依然会执行，没有变化。
• 客户端私钥对应的是双向TLS额外新增的客户端身份校验逻辑：服务端要求客户端出示客户端证书后，需要验证这个证书确实是你本人的，而不是你盗用的其他人的证书。此时你需要用本地留存的客户端私钥，对TLS握手过程中生成的随机报文做签名，服务端收到后用你提交的客户端证书里的公钥做验签，验签通过即可确认你持有对应私钥，身份合法。这个私钥是你当初生成证书签名请求（CSR）时本地生成的，全程不会对外传输，只有你本人持有，因此可以作为身份凭证。

curl命令参数的对应逻辑 #

你用到的curl --key client.key参数，就是告诉curl调用该私钥完成上述签名动作，完整的双向认证curl请求示例一般为：

curl --cert client.crt --key client.key https://目标服务地址

其中--cert参数是向服务端提交你的客户端证书，--key参数用于调用私钥完成签名校验。

内容的提问来源于stack exchange，提问作者Aladdin