OAuth2 MTLS客户端认证：双向TLS与证书绑定

概览

• mTLS 在传输层校验客户端证书；授权服务器在令牌中嵌入绑定信息，资源服务器验证连接与令牌一致。
• 与 DPoP 互补，适合服务间与高安全场景。

技术参数（已验证）

• 证书绑定：令牌含 cnf（确认）声明，包含证书哈希（Thumbprint）；资源服务器验证连接证书与令牌一致。
• 配置：网关/资源服务器开启 mTLS；配置信任链与客户端证书颁发与轮换。
• 兼容：与代理/负载需传递证书信息；避免终止点破坏绑定。
• 安全：短期证书与撤销；记录失败与异常；配合速率限制与审计。
• 互补：在公共客户端场景使用 DPoP；在服务间优先 mTLS。

实战清单

• 为高敏接口启用 mTLS 与令牌绑定；在授权服务器与资源服务器协同实现校验。
• 管理证书生命周期与轮换；在异常时快速撤销与恢复。
• 维护信任域与回滚路径；在网关统一策略与告警。