什么是HTTPS双向认证API网关(APIGateway)

单向认证流程中，服务器端保存着公钥证书和私钥两个文件，整个握手过程如下：

通过以上步骤就可以在API网关上完成HTTPS双向认证的配置。

生成这一系列证书之前，我们需要先生成一个CA根证书，然后由这个CA根证书颁发服务器公钥证书和客户端公钥证书。为了验证根证书颁发验证客户端证书这个逻辑，我们使用根证书生成两套不同的客户端证书，然后同时用两个客户端证书来发送请求，看服务器端是否都能识别。

经过上面三个命令行，我们最终可以得到一个签名有效期为10年的根证书root.crt，后面我们可以用这个根证书去颁发服务器证书和客户端证书。

经过上述三个命令，我们得到：

server.key：服务器端的密钥文件server.crt：有效期十年的服务器端公钥证书，使用根证书和服务器端私钥文件一起生成。

重复使用上面的命令，我们得到两套客户端证书：

-client.key/client2.key：客户端的私钥文件。

-client.crt/client2.key：有效期十年的客户端证书。

使用根证书和客户端私钥一起生成client.p12/client2.p12，这个证书文件包含客户端的公钥和私钥，主要用来给浏览器访问使用。

使用curl加上证书路径，可以直接测试Nginx的HTTPS双向认证是否配置成功。下面我们测试三个用例：

下面是三个用例的测试结果：

使用client.crt/client.key这一套客户端证书来调用服务器端。

由于使用的是自签名证书，使用ApacheHttpClient去调用时，需要将服务器证书加入可信任证书库中，才能成功调用，也可以在代码中简单忽略证书。

cd$JAVA_HOMEsudo./bin/keytool-import-aliasttt-keystorecacerts-file/Users/fred/temp/cert5/server.crt将服务器端公钥证书设置为可信证书后，使用以下代码可以直接发起带客户端证书的HTTPS请求：