为什么IIS中默认过滤掉客户端SSL证书？

Question

事实证明，如果客户端发送使用其证书签名的请求，则IIS会忽略该证书并且不会将其传递给托管代码。这是因为默认情况下<system.webServer><security><access sslFlags>属性设置为“无”，这意味着“忽略证书”。

默认情况下不允许更改该值，因为<security>部分已锁定，因此必须首先将其解锁。显然，有人默认禁止将证书传递给托管代码。

为什么这是默认值？为什么不让证书通过而不是触摸呢？