Nginx HTTPS 能正常运行的前提是：已启用 --with-http_ssl_module 模块、证书与私钥为 PEM 格式且路径绝对、权限正确（私钥600、证书644）、server 块中同时配置 listen 443 ssl、ssl_certificate 和 ssl_certificate_key；三者缺一不可，否则将报错或静默降级。
直接说结论：Nginx 默认已编译 --with-http_ssl_module，只要证书路径、格式、权限三者全对，ssl_certificate 和 ssl_certificate_key 同时出现在 listen 443 ssl 的 server 块里，HTTPS 就能跑起来；缺一不可，错一个就报 SSL_CTX_use_PrivateKey_file("") failed 或静默降级到 HTTP。
确认 Nginx 确实支持 SSL 模块
别假设“装了就有”，得亲手验证。很多精简版或自编译 Nginx 可能漏掉这个模块。
- 运行
nginx -V 2>&1 | grep -o with-http_ssl_module，有输出才表示编译时启用了该模块 - 如果没输出，
apt install nginx-full（Ubuntu）或重装带 SSL 支持的包，不要手动加模块——动态加载在主流发行版中不实用且易出错 -
nginx -t不报错 ≠ SSL 模块可用；它只校验语法，不检查模块是否存在
证书文件必须是 PEM 格式且路径绝对
Nginx 只认 PEM，不接受 PFX、DER、JKS 等任何其他格式；相对路径在 worker 进程里会失效，必须用绝对路径。
- 检查证书开头是否为
-----BEGIN CERTIFICATE-----，私钥是否为-----BEGIN RSA PRIVATE KEY-----或-----BEGIN PRIVATE KEY----- - 若私钥含
DEK-Info行（即被密码加密），Nginx 启动时会卡住或报problems getting password；用openssl rsa -in encrypted.key -out decrypted.key去密 - Let’s Encrypt 用户注意：
ssl_certificate应指向fullchain.pem（域名证书 + 中间证书拼接），不是单独的cert.pem；否则 iOS/部分安卓设备握手失败 - 用
file /etc/nginx/ssl/example.com.crt和openssl x509 -in /etc/nginx/ssl/example.com.crt -text -noout | head -3快速验格式
server 块里必须同时写齐 listen、证书、私钥
只配 ssl_certificate 不配 ssl_certificate_key，或写了 listen 443 却漏了 ssl，Nginx 都不会报错，但 HTTPS 请求会被直接拒绝或 fallback 到另一个 server 块。
- 最小可行配置必须包含这三行：
listen 443 ssl、ssl_certificate /path/to/fullchain.pem、ssl_certificate_key /path/to/private.key - HTTP 跳转 HTTPS 必须另起一个
server { listen 80; return 301 https://$host$request_uri; }，不能塞进同一个server块里混用listen 80和listen 443 ssl - 证书路径权限必须严格：私钥
chmod 600，证书文件chmod 644；Nginx worker 是 nobody 或 www-data 用户，读不到就失败
HTTP/2 和 TLS 版本不是可选项，而是当前事实标准
不显式启用 http2 和限定 TLSv1.2 TLSv1.3，浏览器可能拒绝连接（尤其 Chrome 120+ 对 TLSv1.0/1.1 已完全弃用）。
-
listen 443 ssl http2必须写在server块里，不是http块全局设置 -
ssl_protocols TLSv1.2 TLSv1.3推荐放在http块做全局约束，避免每个server重复写 - 不要用
HIGH:!aNULL:!MD5这类宽泛 cipher 字符串；现代推荐如ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256，兼顾兼容性与前向保密 - OCSP Stapling 虽好，但依赖
resolver可达性；若内网无 DNS 或防火墙拦截，反而导致 TLS 握手变慢，首次上线建议先关掉
最容易被忽略的是证书链完整性——不是“有证书就行”，而是“终端设备能否完整构建信任链”。iOS 设备尤其敏感，只给域名证书不给中间证书，就会显示“此连接非私密”；调试时用 openssl s_client -connect example.com:443 -servername example.com 看 Verify return code 是否为 0，比浏览器提示更准。
