（请注意，SSLVerifyClient="optional"使用APR等效于clientAuth="want"使用JSSE连接器。尽管是可选的，但它是在连接时协商的，一旦服务器知道路径，就不会重新协商。）

如果您只想对某些Web应用程序（或路径）使用客户端证书身份验证，则需要为连接器配置一个信任库，但是请离开clientAuth="false"。

然后，在中WEB-INF/web.xml，您需要配置CLIENT-CERT身份验证。必要时，这将使用重新协商来请求客户端证书。配置如下所示：

<web-app>
    <display-name>My Webapp</display-name>
    <security-constraint>
        <web-resource-collection>
            <web-resource-name>App</web-resource-name>
            <url-pattern>/</url-pattern>
        </web-resource-collection>
        <auth-constraint>
            <role-name>cert</role-name>
        </auth-constraint>
        <user-data-constraint>
            <transport-guarantee>CONFIDENTIAL</transport-guarantee>
        </user-data-constraint>
    </security-constraint>

    <login-config>
        <auth-method>CLIENT-CERT</auth-method>
    </login-config>

    <security-role>
        <role-name>cert</role-name>
    </security-role>
</web-app>

（在配置Tomcat用户时，还需要将用户的使用者DN映射到适当的角色。）