Nginx chỉ xác minh certs khách hàng trên một vị trí cụ thể

Chúng tôi sử dụng Nginx làm proxy ngược cho máy chủ ứng dụng web của mình. Nginx xử lý SSL của chúng tôi và như vậy nhưng mặt khác chỉ hoạt động như một proxy ngược.

Chúng tôi muốn yêu cầu chứng chỉ ứng dụng khách hợp lệ cho các yêu cầu /jsonrpcnhưng không yêu cầu chúng ở bất kỳ nơi nào khác. Cách tốt nhất chúng tôi tìm thấy là

server {
  listen       *:443 ssl;

  ssl on;
  ssl_certificate         /etc/nginx/server.crt;
  ssl_certificate_key     /etc/nginx/server.key;
  ssl_client_certificate  /etc/nginx/client-ca.crt;

  ssl_verify_client optional;

  location /jsonrpc {
    if ($ssl_client_verify != "SUCCESS") { return 403; }

    proxy_pass          http://localhost:8282/jsonrpc-api;
    proxy_read_timeout  90;
    proxy_redirect      http://localhost/ $scheme://$host:$server_port/;
  }
}

Điều này hoạt động tốt đối với hầu hết các trình duyệt, nhưng một số trình duyệt như Safari và Chrome trên Android cuối cùng sẽ nhắc người dùng cung cấp chứng chỉ ứng dụng khách bất kể họ đi đâu trên trang web.

Làm thế nào để chúng tôi khiến Nginx chấp nhận nhưng không thực sự quan tâm đến chứng chỉ khách hàng ở mọi nơi ngoại trừ /jsonrpcvị trí của chúng tôi ?

Tại sao không thử khối máy chủ thứ hai thay thế? Sao chép mã là xấu nhưng đôi khi không thể tránh khỏi. Tôi giả sử / jsonrpc đại diện cho một API để nó có thể sử dụng tên miền phụ của chính nó nếu chưa sử dụng nó:

server {
  listen       *:443 ssl;
  server_name api.example.com;

  ssl on;
  ssl_certificate         /etc/nginx/server.crt;
  ssl_certificate_key     /etc/nginx/server.key;
  ssl_client_certificate  /etc/nginx/client-ca.crt;

  ssl_verify_client on;

  location =/jsonrpc {
    proxy_pass          http://localhost:8282/jsonrpc-api;
    proxy_read_timeout  90;
    proxy_redirect      http://localhost/ $scheme://$host:$server_port/;
  }
}

server {
  listen       *:443 ssl;

  ssl on;
  ssl_certificate         /etc/nginx/server.crt;
  ssl_certificate_key     /etc/nginx/server.key;
  ssl_client_certificate  /etc/nginx/client-ca.crt;

  ssl_verify_client off;

  location / {
    proxy_pass          http://localhost:8282/;
    proxy_read_timeout  90;
    proxy_redirect      http://localhost/ $scheme://$host:$server_port/;
  }
}