双向 TLS(mTLS)

双向 TLS 是 TLS 握手的一种变体,服务器在出示自身证书的同时也要求客户端提供证书。在校验证书链并确认私钥持有者后,双方建立加密且经过相互认证的会话。它被广泛应用于零信任架构、API 网关、服务网格以及 VPN 替代方案中的机器对机器和服务对服务通信。良好实践包括由私有 CA 签发的短期证书、自动轮换、OCSP 或 CRL 检查,以及在客户端证书与身份不匹配时拒绝令牌或承载凭据。