Node.js中启用双向（客户端认证）SSL的配置问题求助

我来帮你搞定Node.js/Express下的双向SSL认证配置，毕竟之前踩过不少类似的坑😎

单向SSL只需要服务器端的证书密钥，但双向认证得同时搞定服务器验证客户端的环节——你只加了requestCert: true肯定不够，还得补上信任链配置，不然服务器根本不知道该信任哪些客户端证书。

正确的完整配置示例 #

对比你原来的代码，我给你贴个能跑通的版本，重点看新增的几个配置项：

const express = require('express');
const https = require('https');
const fs = require('fs');

const app = express();

// 测试路由
app.get('/', (req, res) => {
  // 可以在这里判断客户端是否认证通过
  if (req.client.authorized) {
    res.send('🎉 双向SSL认证成功！');
  } else {
    res.status(401).send('❌ 客户端证书未通过验证');
  }
});

// SSL配置（重点看新增的ca和rejectUnauthorized）
const sslOptions = {
  // 原来单向认证就有的服务器密钥和证书
  key: fs.readFileSync('./server-key.pem'),
  cert: fs.readFileSync('./server-cert.pem'),
  // 开启客户端证书请求
  requestCert: true,
  // 拒绝未授权的客户端（调试阶段可以设为false，先看请求情况）
  rejectUnauthorized: true,
  // 关键！指定信任的CA证书链，用来验证客户端证书的合法性
  ca: [fs.readFileSync('./ca-root-cert.pem')]
};

// 启动HTTPS服务器
https.createServer(sslOptions, app).listen(443, () => {
  console.log('双向SSL服务器已启动在443端口');
});

你大概率踩的几个坑 #

1. 没配置ca选项：这是最常见的错误！服务器需要知道哪些CA签发的客户端证书是可信的，如果你用的是自签名测试证书，直接把客户端的证书文件加到ca数组里也行（仅限调试）。
2. 客户端证书没导入浏览器：Firefox里得手动导入客户端证书（路径：设置→隐私与安全→证书→查看证书→你的证书→导入），访问时会弹出选择证书的窗口，选对了才能通过。
3. rejectUnauthorized的误解：如果设为true，未授权的请求会直接被拒绝；调试时可以先设为false，然后通过req.client.authorized来判断认证状态，方便排查问题。
4. 证书格式不对：确保所有证书都是PEM格式，Node.js 8.5.0不支持其他格式的证书文件。

调试小技巧 #

可以在路由里打印客户端证书的详细信息，帮你定位问题：

app.get('/', (req, res) => {
  console.log('客户端证书详情:', req.connection.getPeerCertificate());
  console.log('是否认证通过:', req.client.authorized);
  res.send('测试响应');
});

内容的提问来源于stack exchange，提问作者jstack100