proxy_ssl_verify_depth 控制证书链向上验证的最大级数，必须配合 proxy_ssl_verify on 等指令生效；默认值1仅支持根CA直签，多数生产环境需设为2或3以支持含中间CA的完整证书链。
proxy_ssl_verify_depth 控制 Nginx 在验证后端 HTTPS 服务证书链时，最多向上追溯几级 CA 证书。它不单独起作用，必须配合 proxy_ssl_verify on 及其他 SSL 校验指令共同生效；否则设再大也无意义。
为什么需要设置 proxy_ssl_verify_depth？
多数公网服务使用“根 CA → 中间 CA → 终端证书”三级结构。Nginx 默认只验证一级（verify_depth = 1），即仅检查终端证书是否由 proxy_ssl_trusted_certificate 中的某个证书直接签发。若后端返回的证书由中间 CA 签发，而该中间 CA 又由根 CA 签发，Nginx 就会因无法在可信证书文件中直接找到签发者而校验失败，报错 certificate verify failed。
此时需将深度设为 2 或 3，让 Nginx 沿证书链逐级向上验证，直到匹配到可信根证书。
正确配置方式与取值建议
该指令必须出现在启用证书校验的 location 或 upstream 块中，且需确保以下基础项已就位：
proxy_ssl_verify on;-
proxy_ssl_trusted_certificate /path/to/ca-bundle.crt;（含根 CA + 所有必需中间 CA） proxy_ssl_name "backend.example.com";proxy_ssl_server_name on;
在此基础上添加：
proxy_ssl_verify_depth 3;
常见取值说明：
- 1：仅验证终端证书是否由可信证书直接签发（适用于自签名或根 CA 直签场景）
- 2：支持“根 CA → 终端证书”或“根 CA → 中间 CA → 终端证书”中较短链（多数云厂商 API 适用）
- 3：兼容更长链，如某些私有 PKI 或多层中间 CA 架构（推荐生产环境起步值）
配套操作要点
仅调大 depth 不足以解决问题，还需同步确认：
-
proxy_ssl_trusted_certificate文件中是否包含完整的信任链——必须同时包含根 CA 和所有中间 CA 证书，顺序不限，但缺一不可 - 后端实际返回的证书链是否完整？可用
openssl s_client -connect host:port -servername domain -showcerts查看输出中证书数量和层级 - Nginx 进程对证书文件是否有读权限？用
ls -l检查，避免因权限问题导致加载失败，depth 设置无效 - 修改后务必执行
nginx -t测试配置，再nginx -s reload
典型错误表现与验证方法
若 depth 设置过小，错误日志通常出现：
SSL_do_handshake() failed (SSL: error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed:unable to get issuer certificate)
这不是证书过期或域名不匹配，而是“找不到签发者”。此时可临时开启 debug 日志（error_log /var/log/nginx/error.log debug;），观察握手阶段具体在哪一级中断。验证通过后记得关掉 debug，防止日志膨胀。
