Ubuntu环境下Nginx客户端证书认证：使用公共CA是否存在安全风险？

嗨，你的担忧完全合理，咱们一步步拆解这个问题：

1. 公共CA配置的安全风险：是的，任何持有有效证书的客户端都能通过认证 #

当你把ssl_client_certificate设为公共CA（比如Let's Encrypt）的证书，同时开启ssl_verify_client on时，所有持有该公共CA签发的有效客户端证书的用户，都能通过Nginx的认证。毕竟公共CA的核心职责就是给各类合法实体签发证书，等于你把访问权限开放给了整个CA信任的所有用户，这显然不符合你只想让自己的客户端访问的需求。

2. 如何只允许自己的客户端证书通过认证？ #

不用放弃公共CA签名的证书，下面两个方案完美适配你的场景：

方案一：基于证书指纹过滤（最安全可靠） #

证书的SHA256指纹是唯一的“身份标识”，只有匹配你自己证书指纹的请求才能通过：

• 第一步：获取你的客户端证书指纹，执行命令：

  openssl x509 -in /path/to/your-client-cert.pem -fingerprint -sha256 -noout
  

  复制输出的类似SHA256:XX:XX:XX:...的字符串。
• 第二步：修改Nginx配置，用map模块做指纹匹配：

  # 在http块中添加map配置
  map $ssl_client_fingerprint $allow_client {
      default 0; # 默认拒绝所有请求
      "SHA256:你的证书指纹字符串" 1; # 仅允许你的证书通过
  }
  
  server {
      # 你的基础SSL配置
      listen 443 ssl;
      server_name your-domain.com;
      ssl_certificate /etc/nginx/ssl/server-cert.pem;
      ssl_certificate_key /etc/nginx/ssl/server-key.pem;
  
      # 保留公共CA验证逻辑
      ssl_client_certificate /etc/nginx/ssl/ca.cer;
      ssl_verify_client on;
      ssl_verify_depth 2; # 根据公共CA的证书链调整，Let's Encrypt设为2即可
  
      # CA验证通过后，再校验指纹
      if ($allow_client != 1) {
          return 403 Forbidden;
      }
  
      # 你的location路由配置...
  }
  

方案二：基于证书主题字段过滤 #

如果你的客户端证书有唯一的主题标识（比如专属的CN字段），也可以通过匹配主题DN过滤：

map $ssl_client_s_dn $allow_client {
    default 0;
    "/C=US/ST=California/L=San Francisco/O=YourOrg/CN=YourExclusiveClient" 1;
}

你可以用openssl x509 -in your-client-cert.pem -subject -noout查看完整的主题字符串，注意要完全匹配。不过这种方式的安全性略低于指纹方案（理论上存在公共CA签发相同DN证书的极低概率），优先推荐指纹方案。

3. 关于自建CA的疑问 #

你说得没错，如果你改用自建CA，客户端确实无法导入（因为它只接受公共CA签名的证书），所以自建CA对你的场景完全不可行。上面的指纹/主题过滤方案才是最优解——既保留了公共CA证书的客户端兼容性，又实现了专属访问的安全需求。

备注：内容来源于stack exchange，提问作者Jonathan Fake