proxy_ssl_verify_depth 控制Nginx验证上游证书时允许的中间CA级数，设为1仅支持终端→根CA，设为2支持常见三级链（终端→中间CA→根CA），设为3适用于企业私有PKI；必须配合proxy_ssl_verify on、proxy_ssl_trusted_certificate、proxy_ssl_name和proxy_ssl_server_name协同生效。
要让 Nginx 正确校验后端 HTTPS 服务的证书链，proxy_ssl_verify_depth 必须设为与实际证书链层级匹配的值——不是越大越好，也不是越小越安全，而是刚好够用。
它到底控制什么
这个参数限制 Nginx 在验证上游证书时，最多允许多少级中间 CA 参与信任链构建。它不验证根 CA 本身，只数“中间签发者”的数量：
- 设为 1：只接受终端证书 → 根 CA（无中间 CA）
- 设为 2：支持终端证书 → 中间 CA → 根 CA（常见于 Let’s Encrypt R3）
- 设为 3：支持三级中间链，多见于企业私有 PKI 或金融类后端
怎么确定该设成几
不能靠猜，得看后端实际返回的证书链结构：
- 用命令快速查看：
openssl s_client -connect backend.example.com:443 -showcerts 2>/dev/null | openssl x509 -noout -text | grep "CA Issuers" - 观察输出中 “CA Issuers” 出现几次，或直接数 PEM 块数量（终端证书 + 所有中间证书 = 链长度）
- 深度值 = 中间证书数量（不含终端证书，也不含根 CA，但要求可信证书文件里必须包含它们）
单独配置没用，必须配齐这四样
proxy_ssl_verify_depth 是个“配合型”指令，缺了下面任何一项都会失效或报 502：
Bailian Usage Proxy
下载
阿里百炼大模型平台多人共享账号用量统计代理服务。解决公司共用账号时无法区分个人用量的问题。适用场景：1)部署用量统计代理；2)统计多人Token用量和调用次数；3)管理大模型API调用配额。
- proxy_ssl_verify on; —— 明确启用校验（默认是 off）
- proxy_ssl_trusted_certificate /path/to/ca-bundle.pem; —— 文件里必须同时含中间 CA 和根 CA（顺序不限，拼在一起即可）
- proxy_ssl_name "backend.example.com"; —— 匹配证书中的 SAN 域名，尤其当 proxy_pass 写的是 IP 或变量时不可省
- proxy_ssl_server_name on; —— 启用 SNI，确保握手时把域名发给后端，避免返回默认证书
设错会怎样
值太小：合规证书被拒，日志报 certificate verify failed 或 SSL_do_handshake() failed；
值太大：可能意外接纳嵌套过深、来源不明的中间签发者，削弱验证意义。
生产环境建议从 2 起步，观察日志和响应；若确认是三级链再调到 3；自签名单证书可维持 1，但务必确保 trusted_certificate 文件里已包含该自签根。
