http - 将 BASIC 身份验证与客户端证书身份验证结合使用

Question

一般来说，服务器是否可能同时要求客户端证书身份验证和 BASIC 身份验证？

例如，某种内部网站，需要:

• 要安装特定证书的机器(客户端证书身份验证)，以及
• 要登录的有效用户(基本身份验证)

注意:这个问题不是关于支持一个或另一个的服务器，而是两个一起(因为请求者必须通过两种方式进行身份验证)

Answer 1

是的，可以同时拥有两者。客户端证书将在 TLS 握手期间进行验证，而基本身份验证将在 HTTP 级别完成，即在 TLS 握手完成并检查客户端证书后的 TLS 连接内。