Nginx目录级配置开启SSL证书独立管理-Nginx-PHP中文网

nginx 不支持在 location 块中配置 ssl 证书，因为 tls 握手发生在 http 请求和 location 匹配之前，此时路径信息不可知；可行方案包括按子域名、端口或 sni 隔离 server 块，或使用 openresty + lua 动态加载证书。

nginx目录级配置开启ssl证书独立管理

在 Nginx 中实现目录级 SSL 证书独立管理，本质上是不支持的——Nginx 的 SSL 配置（ssl_certificate 和 ssl_certificate_key）只能在 http、server 或 location 块的 server 上下文 中生效，不能在普通 location 内直接配置不同证书。

为什么不能在 location 里配 SSL 证书？

SSL/TLS 握手发生在 HTTP 请求之前，浏览器在发送 GET /path/xxx 之前，已与服务器完成 TLS 协商并验证证书。此时 Nginx 还未进入具体 location 匹配阶段，因此无法根据 URL 路径动态选择证书。

换句话说：证书选择发生在请求路由之前，路径信息尚未可知。

可行的替代方案：按域名或端口隔离

要实现“不同目录用不同证书”的效果，需将逻辑映射到 Nginx 支持的 SSL 作用域上。常用方式有：

使用不同子域名：如 app.example.com 和 api.example.com，各自绑定独立 server 块和证书
监听不同 HTTPS 端口：例如 443（主站）、8443（后台），每个端口对应一个 server 块及专属证书
利用 SNI（Server Name Indication）：现代浏览器均支持，允许同一 IP+端口承载多个域名+证书，Nginx 自动按 Host 头匹配对应 server 块

示例：通过子域名实现证书分离

假设你希望 /admin/ 路径使用专用证书，可将其部署为 admin.example.com：

server {
    listen 443 ssl;
    server_name admin.example.com;
    ssl_certificate /etc/nginx/ssl/admin.crt;
    ssl_certificate_key /etc/nginx/ssl/admin.key;

    location / {
        proxy_pass https://backend-admin;
        proxy_set_header Host $host;
    }
}

server {
    listen 443 ssl;
    server_name example.com www.example.com;
    ssl_certificate /etc/nginx/ssl/main.crt;
    ssl_certificate_key /etc/nginx/ssl/main.key;

    location / {
        root /var/www/html;
    }
}

前端可通过反向代理或 DNS 解析，把 https://example.com/admin/ 重写跳转至 https://admin.example.com/，用户感知仍是统一域名，实际证书已分离。