我处于一个奇怪的场景中，我有一个带有 NodeJS 后端和 ReactJS 前端的服务器，它会保存记录，客户希望使用用户证书来识别访问此内部站点的人员。问题是他们有一个非常大的网络，带有复杂的 PKI，而且我分配给该站点的公共证书不一定与所有可以访问它的客户端相匹配。
\n我在前面设置了 nginx，ssl_verify_client optional_no_ca;但我注意到，如果用户拥有由与 nginx 提供的公钥相同的 CA 正确签名的证书，浏览器只会为用户提供选择客户端证书的选项。
我的理解是，在证书请求期间，服务器可以指定哪些 CA 是可接受的。看起来nginx 可能正在这样做，但我\xe2\x80\x99m 不确定\xe2\x80\x99s 是这种情况。我的计划是明天开始用wireshark进行剖析。有没有一种已知的方法可以让我的网站要求浏览器始终提示用户输入客户端证书？我是否一路上误解了什么？
\n