证书与私钥不匹配是根本原因，需通过比对modulus MD5值确认是否一致，同时检查证书链完整性、文件编码格式、私钥是否加密及权限设置。
遇到“SSL_CTX_use_PrivateKey_file failed”或“X509_check_private_key:key values mismatch”这类报错，基本可锁定为证书与私钥不匹配。这不是配置写错了路径，而是加密层面的“身份对不上”。排查要从密钥对本质出发，而不是反复改配置。
验证模数是否一致
证书的公钥和私钥必须出自同一对密钥，核心判断依据是它们的模数（modulus）完全相同。哪怕文件名看着配套，内容也可能错位。
- 运行命令比对哈希值：
openssl x509 -noout -modulus -in example.com.crt | openssl md5
openssl rsa -noout -modulus -in example.com.key | openssl md5 - 两行输出的 MD5 字符串必须逐字一致；不一致说明私钥不是该证书对应的原始私钥
- 若使用了 pkcs8 格式私钥（如用 openssl pkcs8 -topk8 转换过），需改用 openssl pkey -noout -modulus -in example.com.key | openssl md5 验证
检查证书文件是否混入了中间证书
Nginx 的 ssl_certificate 指令只接受单个 PEM 文件，但该文件可以且应当包含完整链：域名证书在最前，中间证书紧随其后，根证书一般不需放入。
- 错误做法：把中间证书单独放在 ssl_trusted_certificate，而 ssl_certificate 只放域名证书——这会导致部分客户端握手失败
- 正确做法：合并为一个 fullchain.pem：
cat example.com.crt intermediate.crt > fullchain.pem - 用命令快速确认层级：
openssl crl2pkcs7 -nocrl -certfile fullchain.pem | openssl pkcs7 -print_certs -noout
输出应显示至少两级证书
确认文件格式与编码干净无污染
Windows 编辑器保存的 .crt 或 .key 文件常带 BOM 头或 CRLF 换行符，Linux 下 Nginx 无法解析，会误报为“密钥不匹配”。
- 检查编码：
file example.com.crt 应显示 “ASCII text”，而非 “UTF-8 Unicode (with BOM) text” - 清理换行与隐藏字符：
dos2unix example.com.crt example.com.key - 肉眼核对开头结尾：
证书必须以 -----BEGIN CERTIFICATE----- 开头、-----END CERTIFICATE----- 结尾
私钥应以 -----BEGIN RSA PRIVATE KEY----- 或 -----BEGIN PRIVATE KEY----- 开头
留意私钥是否被加密或权限异常
带密码保护的私钥（即打开时提示输入 passphrase）Nginx 默认无法加载，会直接报错；同时，权限过宽也会触发拒绝读取。
- 检查私钥是否加密：
openssl rsa -check -in example.com.key
若提示 “Enter pass phrase for …”，说明有密码，需移除：
openssl rsa -in example.com.key -out example.com.key.unlocked - 设置安全权限：
chmod 600 example.com.key
属主应为运行 Nginx 的用户（如 www-data、nginx 或 root） - 确认 Nginx 进程能实际读取：
sudo -u nginx cat example.com.key >/dev/null（替换 nginx 为实际用户）
