我们正在寻求为我们的应用程序用户的特权子集实现客户端证书的双向身份validation。 这个想法是，如果检测到一个证书，用户将被要求input一个额外的密码/密码，这将用于validation证书和用户。 普通用户将继续通过标准的login机制进行身份validation。
我们的生产环境（由一家知名公司托pipe）包括负载均衡的应用程序服务器，我不清楚这个设置将如何处理证书，我不确定是否有任何我应该知道的陷阱。 我很感激在这个问题上的一些想法，意见或现实世界的build议。
如果使用SSL终止负载均衡器，则需要特别考虑客户端证书身份validation，因为负载均衡器无法使用客户端证书向后端Web服务器进行身份validation。
Java的AJP可以处理这个问题，因为有关客户端证书的信息被传递，但是大多数HTTP负载均衡器/传输部署没有这个function。 根据负载平衡器软件的内容（以及是否控制环境的这一方面），您可能可以制定一种机制，将有关客户端证书的信息反馈给Web服务器。