nginx仅支持pem编码的文本格式证书与私钥，pfx和jks需先“拆包”提取明文内容；关键在证书链完整、顺序正确（服务器证书→中间证书）、私钥分离且权限为600，不可仅改后缀。
Nginx 只认 PEM 格式，而 PFX 和 JKS 是 Windows 或 Java 环境常用的封装格式。转换本质是把加密容器“拆包”，提取出明文证书和私钥，并确保结构合规——不是简单改后缀，关键在内容完整、顺序正确、权限合理。
从 PFX 提取 Nginx 所需的 server.crt 与 server.key
PFX 是一个带密码保护的二进制包，里面通常包含服务器证书、私钥、中间证书。Nginx 需要分开的 server.crt（含证书链）和 server.key（未加密或加密的私钥）。
- 先提取私钥（不加密，适合测试；生产环境建议保留密码）：
openssl pkcs12 -in cert.pfx -nocerts -nodes -out server.key
执行时输入 PFX 密码，输出的 key 文件以-----BEGIN PRIVATE KEY-----开头 - 再提取证书（含服务器证书 + 中间证书）：
openssl pkcs12 -in cert.pfx -clcerts -nokeys -out server.crt
注意：此命令默认只导出服务器证书。如需完整链，推荐用下一步方式 - 更稳妥的做法：先导出完整 PEM，再分离
openssl pkcs12 -in cert.pfx -out cert.pem -nodes
然后用文本编辑器打开 cert.pem，手动拆分——把第一个-----BEGIN CERTIFICATE-----到对应-----END CERTIFICATE-----块作为 server.crt；后续所有证书块合并为 fullchain.crt；私钥块单独保存为 server.key
JKS 转 PEM：先转 PKCS12，再转 PEM
JKS 是 Java 密钥库，不能直接被 OpenSSL 读取。必须先用 keytool 导出为标准 PKCS12（即 .p12），再用 OpenSSL 拆解。
- 将 JKS 导出为 P12：
keytool -importkeystore -srckeystore app.jks -destkeystore app.p12 -srcstoretype JKS -deststoretype PKCS12
过程中会提示输入源密钥库密码和目标密钥库新密码（建议设相同密码便于后续操作） - 从 P12 提取私钥与证书：
openssl pkcs12 -in app.p12 -nocerts -nodes -out app.keyopenssl pkcs12 -in app.p12 -clcerts -nokeys -out app.crt - 若原 JKS 含别名（alias），且导出时未指定，可能提示“no certificate matches alias”。此时加
-srcalias your_alias参数重试
整理 PEM 内容，满足 Nginx 实际配置要求
Nginx 的 ssl_certificate 接收的是“证书链文件”，不是单张证书；ssl_certificate_key 接收的是私钥。两者都必须是 PEM 编码、无 BOM、无多余空行。
- 证书链拼接规则：
用cat server.crt intermediate.crt > fullchain.pem，确保顺序是：服务器证书 → 中间证书 → （可选）根证书（通常不放） - 私钥格式校验：
如果私钥开头是-----BEGIN PRIVATE KEY-----，Nginx 多数版本可直接用；若需转为传统 RSA 格式（如某些旧版要求），运行：openssl rsa -in server.key -out server_rsa.key - 文件权限必须严格：
chmod 600 server.key（Nginx 拒绝加载权限过宽的私钥）chmod 644 fullchain.pem
验证与上线前必做三件事
转换完成不等于能用。很多故障出在验证环节缺失。
- 检查私钥与证书是否匹配：
openssl x509 -noout -modulus -in fullchain.pem | openssl md5openssl rsa -noout -modulus -in server.key | openssl md5
两个 md5 值必须一致 - 检查证书链完整性：
openssl verify -CAfile ca-bundle.crt fullchain.pem（如有根/中间证书包） - 语法检查 Nginx 配置：
nginx -t，确认无 “invalid certificate” 或 “no start line” 报错
