根本原因是Linux权限机制禁止www-data访问/root目录（默认700），即使私钥权限为600，www-data也无法遍历该目录；正确做法是将证书移至/etc/nginx/ssl/等标准路径，设目录755、私钥440且属组www-data，并同步更新Nginx配置。
当 Nginx（以 www-data 用户运行）无法读取放在 /root/ 目录下的私钥文件时，根本原因不是“路径写错了”，而是 Linux 权限机制天然阻止普通用户访问 /root ——该目录默认权限为 700，仅允许 root 用户进入和遍历。即使私钥本身权限设为 600，www-data 仍会在尝试打开前就被卡在目录入口。
确认 Nginx 实际运行身份
别只看配置文件里的 user 指令，要验证真实进程用户：
- 执行
ps aux | grep "nginx: worker"，观察输出中 USER 列（常见为www-data或nginx） - 检查配置：
grep -r "^user" /etc/nginx/，确认未被子配置覆盖 - 若看到
root和www-data并存，说明主进程是 root、工作进程已降权——此时必须满足工作进程的权限需求
禁止将证书放在 /root 下
/root 是系统管理员专属目录，对其他用户屏蔽是安全设计，不是 bug。强行开放会破坏最小权限原则：
- 不要用
chmod 755 /root——这会暴露整个 root 家目录，极度危险 - 不要用
chown -R www-data:www-data /root——等同于交出系统控制权 - 正确做法：把证书移到标准、可管控的位置，例如
/etc/nginx/ssl/或/var/lib/nginx/ssl/
设置合理路径与权限组合
目标是让 www-data 能读证书、不能改私钥、且路径可遍历：
- 创建专用目录：
sudo mkdir -p /etc/nginx/ssl - 移动证书：
sudo mv /root/fullchain.pem /etc/nginx/ssl/；sudo mv /root/privkey.pem /etc/nginx/ssl/ - 设目录权限：
sudo chmod 755 /etc/nginx/ssl（确保 www-data 可进入） - 设证书权限：
sudo chmod 644 /etc/nginx/ssl/fullchain.pem - 设私钥权限：
sudo chmod 440 /etc/nginx/ssl/privkey.pem，再执行sudo chown root:www-data /etc/nginx/ssl/privkey.pem
同步更新 Nginx 配置与挂载逻辑
路径变更后，配置和部署方式必须同步调整：
- 修改
server块中的指令：ssl_certificate /etc/nginx/ssl/fullchain.pem;和ssl_certificate_key /etc/nginx/ssl/privkey.pem; - 若用 Docker，挂载命令需对应：
-v /host/ssl:/etc/nginx/ssl:ro（只读更安全） - 重载前务必校验：
sudo nginx -t，避免语法或路径错误导致服务中断 - 重载而非重启：
sudo nginx -s reload
