SSL证书在Nginx中不继承，因TLS握手发生在HTTP解析前，需依赖SNI在ClientHello阶段匹配server_name并提供对应证书；每个server块必须显式配置ssl_certificate和ssl_certificate_key，否则启动报错或证书错配。
ssl_certificate 在 Nginx 中不继承，每个 server 块必须显式声明自己的证书文件路径，否则 HTTPS 请求会失败或 fallback 到默认证书（如果存在）。
为什么不能继承？
Nginx 的 SSL 配置是“连接级”而非“上下文级”的。TLS 握手发生在 HTTP 请求解析之前，服务器必须在收到 ClientHello 时就决定用哪张证书响应——此时还无法知道 Host 头，只能依赖 SNI（Server Name Indication）扩展来区分域名。因此，Nginx 必须为每个监听 443 端口的 server 块单独配置 ssl_certificate 和 ssl_certificate_key，确保 SNI 匹配时能准确提供对应证书。
实际配置中的覆盖行为
当多个 server 块监听同一 IP:Port（如 listen 443 ssl），Nginx 按照以下规则匹配：
- 优先匹配
server_name与客户端 SNI 域名完全一致的块 - 若无精确匹配，且存在
server_name ""或未设server_name的块，则可能 fallback 到该块（但不推荐依赖） - 若所有
server块都缺少ssl_certificate，Nginx 启动会报错：no "ssl_certificate" is defined - 即使父块（如 http 块）定义了
ssl_certificate，子server块也不会继承——Nginx 不支持该指令的继承机制
常见错误与规避方式
以下写法会导致问题：
- 在
http块中统一设置ssl_certificate，期望所有server共享 → 实际无效，各server仍需单独配置 - 两个
server块共用同一组证书路径，但server_name不同（如 sitea.com 和 siteb.net）→ 浏览器访问 siteb.net 会收到 sitea.com 的证书，触发“证书名称不匹配”警告 - 证书路径含中文、空格或反斜杠（如
D:\cert\site.crt）→ Nginx 无法加载，应改用正斜杠并使用英文路径（如D:/cert/site.crt）
正确做法示例
每个站点对应独立 server 块，完整声明 SSL 参数：
server {
listen 443 ssl;
server_name sitea.com;
ssl_certificate D:/nginx/cert/sitea.crt;
ssl_certificate_key D:/nginx/cert/sitea.key;
# 其他 location / root 等配置...
}
<p>server {
listen 443 ssl;
server_name siteb.net;
ssl_certificate D:/nginx/cert/siteb.pem;
ssl_certificate_key D:/nginx/cert/siteb.key;</p><h1>其他配置...</h1><p>}</p>
修改后务必执行 nginx -t 验证语法，再 nginx -s reload 生效。
