如何配置 proxy_ssl_verify 开启后端证书校验构建企业级全链路安全通信-Nginx-PHP中文网

proxy_ssl_verify真正生效需四项指令同级共存：proxy_ssl_verify on、proxy_ssl_trusted_certificate、proxy_ssl_name、proxy_ssl_server_name；缺一不可，且须配对正确证书链、深度及禁用会话复用与旧协议。

如何配置 proxy_ssl_verify 开启后端证书校验构建企业级全链路安全通信

要让 proxy_ssl_verify 真正生效，构建企业级全链路安全通信，关键不是“开了就行”，而是必须形成一个闭环验证链——缺一环，Nginx 就会直接拒绝连接，返回 502 错误。

单独写 proxy_ssl_verify on; 是无效的，它只是整个验证流程的开关，不是独立功能。以下四者必须同时存在、同级声明：

proxy_ssl_verify on; —— 明确启用上游证书校验（默认是 off，不显式开启等于完全不校验）
proxy_ssl_trusted_certificate /etc/nginx/ssl/internal-ca.pem; —— 指向企业私有根 CA 和中间 CA 的 PEM 文件，只含证书，不含私钥或后端终端证书
proxy_ssl_name "svc.internal.company.com"; —— 显式匹配后端证书中的 SAN 域名；若 proxy_pass 写的是 IP 或变量（如 https://$backend_ip），此项缺失会导致域名匹配跳过，但多数内网证书不含 IP SAN，仍会失败
proxy_ssl_server_name on; —— 强制 TLS 握手发送 SNI，确保后端返回与 proxy_ssl_name 匹配的正确证书（尤其对接多证书网关、云负载均衡或泛域名后端时不可省）

该文件是整个验证的信任锚点，格式和内容直接影响校验成败：

安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。

下载

仅允许 PEM 格式，每张证书以 -----BEGIN CERTIFICATE----- 开头、-----END CERTIFICATE----- 结尾，之间不能有空行或非证书内容
可拼接多个 CA 证书（根 + 中间），顺序不限，但禁止混入私钥、fullchain.pem、后端服务证书（.crt）等任何非 CA 内容
推荐路径：/etc/nginx/ssl/internal-ca.pem，权限设为 644，确保 nginx worker 进程能读取
验证方式：openssl pkcs7 -print_certs -in /etc/nginx/ssl/internal-ca.pem -noout 能正常输出证书信息即为合法

proxy_ssl_verify_depth 控制 Nginx 允许的中间 CA 级数，设错会导致合规证书被拒：

默认值 1：只认“终端 → 根 CA”直连结构，几乎不适用于生产环境
设为 2：支持常见三级链（终端 → 中间 CA → 根 CA），如 Let’s Encrypt R3
设为 3：适用于典型企业私有 PKI（终端 → 中间1 → 中间2 → 根 CA）
确定方法：openssl s_client -connect backend.example.com:443 -servername backend.example.com -showcerts 2>/dev/null | grep "BEGIN CERTIFICATE" | wc -l，结果减 1 即为应设的 depth 值