Nginx 原生不支持国密，必须使用 GMSSL 替换 OpenSSL、编译国密定制版 Nginx 并配置双证书结构，三者缺一不可；否则 ssl_ciphers 配置无效，TLS 握手必然失败。
标准 Nginx 本身不支持 SM2/SM3/SM4，所谓“加个模块”就能启用国密是常见误解——它依赖的 OpenSSL 底层不认这些算法名，ssl_ciphers 配置再全也握手失败。
为什么不能靠 nginx_http_ssl_module 或第三方模块直接启用国密
Nginx 的 http_ssl_module 只负责调用 OpenSSL API，不实现任何加解密逻辑。当你在配置里写 ssl_ciphers ECDHE-SM2-SM4-SM3，Nginx 实际是把字符串传给 OpenSSL；如果底层库没注册 SM2 曲线、没实现 SM3 摘要或 SM4 加密，OpenSSL 就直接报错或静默忽略，TLS 握手必然中断。
所谓“国密模块”，本质是替换了 OpenSSL 动态库，并在编译 Nginx 时强制链接它。没有这一步，所有配置都是空转。
- 运行
openssl version -a，输出中必须含GMSSL或Tongsuo字样，而非OpenSSL 1.1.1w这类纯国际版 -
ldd $(which nginx) | grep ssl应指向你编译安装的国密 OpenSSL 路径（如/usr/local/gmssl/lib/libssl.so），而非系统默认路径 - 若看到
libssl.so.1.1 => not found或指向/lib64/libssl.so.1.1，说明链接失败，Nginx 仍在用系统 OpenSSL
必须用 GMSSL + 国密定制 Nginx + 双证书结构三者组合
金融网关合规验收不接受“部分国密”：签名、加密、摘要三个环节必须全部走国密链路，缺一不可。
GMSSL 是目前通过国家密码管理局商用密码检测中心认证的主流国密 OpenSSL 分支，提供完整 SM2 密钥交换与签名、SM3 摘要、SM4 对称加密实现；国密定制 Nginx 指源码编译时明确指定 --with-openssl=/usr/local/gmssl，且需手动修正 auto/lib/openssl/conf 中的头文件和库路径引用；双证书结构 是硬性要求——domain_sign.crt/.key 用于身份认证与数字签名，domain_encrypt.crt/.key 用于密钥封装与数据加密，二者私钥不可复用、用途不可互换。
- 配置中
ssl_certificate和ssl_certificate_key只能指向签名证书对；加密证书需通过ssl_certificate_by_lua_block（配合nginx-gmssl）或前置 WAF 动态加载 - 若强行将加密私钥填入
ssl_certificate_key，Nginx 启动会成功，但 TLS 握手时客户端会因密钥用途不匹配而断连 - CFCA、上海CA 等机构签发的 SM2 证书，其
Key Usage字段严格区分digitalSignature和keyEncipherment，浏览器和国密客户端会校验该字段
关键配置项与验证要点
配置不是贴完就完事，几个参数稍有偏差就会导致降级到 RSA 或握手失败。
ssl_protocols 必须限定为 TLSv1.1 TLSv1.2，国密 TLS 扩展在 TLS 1.3 中尚未完全标准化，启用 TLSv1.3 会导致国密套件被跳过；ssl_ciphers 必须显式启用国密优先套件，例如 ECDHE-SM2-SM4-SM3:SM2-SM4-SM3，并用 ! 显式禁用所有含 RSA、AES、SHA256 的国际套件，防止中间人降级攻击；ssl_certificate 路径必须可被 Nginx worker 进程读取，且私钥文件权限不能是 0644（GMSSL 会拒绝加载）。
- 验证是否真走国密：用
openssl s_client -connect yourdomain.com:443 -cipher SM2 -tls1_2，成功返回Server certificate且无no cipher match错误才算通过 - 仅靠浏览器显示绿色锁不作数——Chrome/Firefox 不信任国密根证书，必须用红莲花、360安全浏览器国密版或奇安信可信浏览器测试
- 若
s_client返回sslv3 alert handshake failure，大概率是ssl_ciphers未启用对应套件，或 GMSSL 编译时漏了enable-sm2
最易被忽略的点是证书链完整性：国密 CA 的中间证书必须和你的签名证书合并进同一个 .crt 文件，且顺序为“域名证书 → 中间证书 → 根证书”。少一级，国产浏览器就无法构建信任链，直接显示“证书不受信任”。
