Azure API Management双向TLS场景下无法获取客户端证书问题

你当前的核心现象是APIM网关层完全没有接收到TLS握手阶段的客户端证书信息，和策略编写逻辑、客户端证书本身有效性无关——毕竟你已经换了测试客户端、换了不同CA签发的证书、换了独立APIM实例复现问题，说明是通用配置匹配错了生效场景，按以下顺序逐一排查：

1. 核对客户端证书协商功能的实际生效范围 #

这是最常见的踩坑点：

• 你在Custom Domains页开启的「Negotiate client certificate」开关，仅对绑定了自定义域名的网关端点生效，对APIM默认的官方域名完全不生效
• 从你提供的trace日志可以看到，你测试时实际访问的是APIM默认域名。此时即便你开了自定义域名上的协商开关，因为没走自定义域名的流量通道，APIM根本不会在TLS握手阶段主动向客户端索要证书，客户端就算本地配置了证书，也会因为服务端没要求而根本不携带到请求里，自然context.Request.Certificate永远为null。
• 修复方式：要么配置一个自定义域名、在该域名的绑定配置里开启客户端证书协商后用自定义域名测试；要么在APIM实例的客户端证书配置面板中，单独开启「对默认网关域名接收客户端证书」的全局开关，不要只依赖自定义域名页的配置。

2. 核对前置网络层的证书透传配置 #

你提到在前置部署了应用网关的环境同样复现问题，此时必须检查前置层的TLS处理逻辑：

• 前置应用网关、负载均衡器如果是在自身节点完成TLS终止，必须同步开启「接收并透传客户端证书」的配置，将收到的客户端证书以base64编码的形式，通过X-ARR-ClientCert请求头传递给后端APIM
• 禁止将前置层TLS解密后用明文HTTP转发给APIM，这种场景下APIM拿到的是纯HTTP请求，根本没有机会接触到TLS层的客户端证书信息

3. 核对APIM对客户端证书的信任关系 #

当APIM开启客户端证书协商后，默认会校验客户端传来的证书是否由APIM受信CA列表中的根CA签发：

• 如果客户端传输的证书对应的签发根CA，没有被上传到APIM的受信CA列表中，APIM会在TLS握手阶段直接丢弃收到的客户端证书，不会将其解析到context.Request.Certificate属性中
• 修复方式：将你测试用的所有客户端证书对应的根CA证书，上传到APIM的CA证书受信列表中，不需要上传中间证书，只需要根CA即可。

4. 临时增加调试逻辑确认证书接收情况 #

可以临时修改入站策略，将所有请求头、上下文的证书状态打印到APIM trace日志中，确认APIM到底接收到了哪些和证书相关的信息：

<inbound>
    <trace source="debug-check" message="@("Request headers: " + string.Join(" | ", context.Request.Headers.Select(h => h.Key + "=" + string.Join(";", h.Value))))" />
    <trace source="debug-check" message="@("Context request certificate exists: " + (context.Request.Certificate != null).ToString())" />
    <choose>
        <when condition="@(context.Request.Certificate == null)">
            <return-response>
                <set-status code="403" reason="Missing client certificate" />
            </return-response>
        </when>
    </choose>
    <base />
</inbound>

修改后重新发起请求，查看trace日志：

• 如果日志中完全没有任何携带证书信息的请求头，直接回到第1、2步排查网络层生效配置
• 如果日志中能看到类似X-ARR-ClientCert的请求头，但context.Request.Certificate依然为null，检查APIM的证书头解析配置是否开启

5. 验证客户端侧的证书携带是否真实生效 #

尽管你从Postman日志看到了证书发送的记录，依然要确认：

• Postman的客户端证书配置，必须绑定到你实际访问的APIM网关域名，不能只把pfx导入系统证书库，Postman不会自动读取系统证书库的内容做客户端认证
• 可以用openssl命令直接测试TLS握手，确保证书真实交换：执行openssl s_client -connect 你的APIM网关域名:443 -cert 客户端证书文件 -key 证书私钥，观察返回结果中是否有客户端证书发送成功的日志，排除测试客户端假发送证书的问题。

内容的提问来源于stack exchange，提问作者Yann