没有题头。

搭建CA

关于该部分，以后会详细阐述(大概,因为openssl有点难用)，如果仍需接着实现本文内容，可以使用XCA这个图形化工具。

https://www.hohnstaedt.de/xca/

已更新，参见：

• https://blog.yeziruo.com/archives/110.html
• https://blog.yeziruo.com/archives/113-1.html

使用

只需要两行命令(http中)：

# 假设你已经开启了https
# 客户端证书所属的根/中间CA证书
ssl_client_certificate /etc/nginx/ssl_cert/email_ca.crt;
# 开启客户端验证
ssl_verify_client on;
# 指定crl列表
ssl_crl /etc/nginx/ssl_cert/email_ca.crl;
#error_page 400 /req_cert.html;

(猫猫来源: https://http.cat/)

重启即可生效。不过只实现了简单的验证，后端无法知道客户端证书的主题信息，这时需要使用ngx_stream_ssl_module模块内置的一些变量，将它附加到头上传给后端即可。

#proxy_set_header ...;
# 客户端证书主题信息
add_header SSL_CLIENT_CERT_DN $ssl_client_s_dn;
# 判断验证状态(SUCCESS)
add_header SSL_CLINET_VERIFY $ssl_client_verify;

可以看到属性是以,分隔的。

ngx_stream_ssl_module模块变量表

(1.11.8起完全支持)