必须使用ssl_certificate_by_lua*在TLS握手阶段动态加载PEM证书与私钥，配合LRU缓存和占位证书，禁用session_cache，才能实现零中断百万级证书自动轮转。

直接用 ssl_certificate 指令无法实现真正的“动态加载”——它只支持静态配置，每次更新都需 reload Nginx，必然中断连接。要达成在线证书自动轮转与维护，必须绕过该指令的限制，转向运行时按需加载的机制。

核心思路：TLS 握手阶段实时加载证书

OpenResty 提供 ssl_certificate_by_lua* 系列指令，允许在 TLS 握手完成前（SNI 域名已知、但证书尚未选定）执行 Lua 逻辑，从文件、内存或远程服务中读取对应域名的 PEM 格式证书与私钥，并通过 API 注入当前连接上下文。

• 该过程发生在 worker 进程内，不依赖全局配置变更，完全规避 reload
• 每个新 TLS 连接独立触发，天然支持多租户、泛域名、测试环境等高频切换场景
• 配合 LRU 缓存（如 lua-resty-lrucache），可避免重复 IO 和解析开销

关键配置与安全约束

以下为生产可用的最小必要设置，缺一不可：

SSL Certificate Monitor

检查一个或多个域名的 SSL/TLS 证书到期时间、颁发者、协议及 SAN 信息，用于应要求检查证书、监控到期或验证 HTTPS 等场景。

下载

• OpenResty 版本 ≥ 1.19.3.1，且编译时启用 --with-http_ssl_module 和 OpenSSL 1.1.1+
• server 块中保留通配 server_name _，并配置占位证书（fallback），防止首次加载失败时握手崩溃
• 禁用 ssl_session_cache 或设为 off，否则旧会话可能复用已失效证书
• 证书与私钥必须为标准 PEM 格式；路径需经白名单校验，禁止用户可控路径注入

自动轮转的落地闭环

动态加载只是“读取”环节，完整轮转还需配套更新与触发机制：

• Let’s Encrypt 续期后，新证书写入预设目录（如 /etc/nginx/ssl/{domain}.crt），文件名含域名标识
• 使用 inotifywait 或定时脚本检测文件变更，触发 Lua 缓存清理（如调用 lrucache:delete(domain)）
• 新连接自动加载新版，旧连接继续使用原证书直至自然断开，零中断过渡
• 建议增加健康检查端点（如 /_ssl/status?domain=xxx），返回当前生效证书指纹与有效期

替代方案：Nginx 开源版 + njs 共享字典

若无法使用 OpenResty，Nginx 1.25+ 开源版配合 njs 模块亦可实现类似效果：

• 通过 js_shared_dict_zone 创建共享内存区，存放域名 → 证书内容的映射
• 用 js_set 在 SSL 上下文中读取字典值，再由 ssl_certificate 和 ssl_certificate_key 引用变量
• 提供 HTTP API（如 PUT /api/cert）更新字典条目，无需 reload 即刻生效