@testcaoy7 https 双向认证在服务端是要配置客户端证书的（一般是根证书公钥），所以不是找个有资质的 CA 签发就行还得服务端信任。

@spddkevin 即使服务端证书和客户端证书用的是同一个（理论上应该是可以的，实际应该不会有人这么做），那也不可能从客户端导出包含私钥的证书啊？你先搞清楚证书的公钥和私钥，一般我们说的证书都是指公钥，证书可以给任何人私钥只有自己有用来验证客户端发来的交换密钥。

你的理解是不是客户端和服务端在协商过程中就把私钥给下发了？？？
你先明白几个点不好好，https 单向认证 服务端证书（公钥）下发给客户端，浏览器能拿到也能导出来，客户端用这个证书加密对称机密密钥给服务端，服务端用私钥解密出来，两边就可以用这个对称密钥通信了。
https 双向认证 除了会下发服务端证书（公钥）给客户端，客户端也会下发客户端证书（公钥）给服务端，服务端会校验是不是配置信任的 CA 证书下发的证书（公钥），然后两边都有自己的私钥才能进行双向认证。

如果你本地浏览器访问某网站已经是双向证书认证了（具体是不是用 wireshark 抓包看看），你系统证书列表一定存在包含私钥的客户端证书，只是你不知道在何时手动导入的。
还有种可能其实服务端并未开启双向认证，你本地肯定只有服务端证书（公钥）了。