Nginx私钥无密码却配置ssl_password_file会导致master静默挂起、不启worker；需通过ps查进程、cat -A看文件首行隐藏符、openssl验证私钥确认问题，修复应移除指令或确保密码文件真正为空且权限正确。

当 Nginx 的私钥实际无密码，但配置中错误启用了 ssl_password_file 指令，或该文件首行含空白字符（空格、制表符、换行符等），master 进程就会静默挂起——不报错、不退出，也绝不派生 worker 进程，服务完全不可用。

确认是否为密码文件问题

仅靠 error.log 无法发现此问题，必须结合进程状态与文件内容交叉验证：

• 运行 ps aux | grep nginx：若只看到 master 进程、无任何 nginx: worker，高度可疑
• 检查配置中 ssl_password_file 指向的路径是否存在：ls -l /path/to/passfile
• 查看该文件首行真实内容（显示隐藏字符）：head -1 /path/to/passfile | cat -A。若输出类似 ^I$（制表符+换行）或 $（纯换行），即为“看似空、实则含空白符”
• 验证私钥本身是否真不需要密码：openssl rsa -in your.key -check -noout。若提示 unable to load Private Key 且含 bad decrypt，大概率是密码误配

安全可靠的修复方式

核心原则：不硬编码密码、不删指令留空、不改私钥本身，只修正密码文件内容与使用逻辑：

• 若私钥确实无密码，应直接从配置中移除 ssl_password_file 指令
• 若需保留该指令（如统一模板部署），则确保文件首行是真正空字符串（不含任何字符）：printf "" > /etc/nginx/ssl_pass
• 严格设置权限：chmod 600 /etc/nginx/ssl_pass && chown root:root /etc/nginx/ssl_pass
• 验证修复：nginx -t 通过后执行 nginx -s reload，再用 ps aux | grep 'nginx: worker' 确认 worker 已启动

预防后续踩坑的关键细节

这类问题隐蔽性强，运维中极易忽略但后果严重：

• 所有 ssl_password_file 必须用 printf 或 echo -n 写入，禁用普通 echo（它默认追加换行符）
• CI/CD 脚本中若自动生成密码文件，需先判断私钥类型：执行 openssl rsa -check -in key.pem -noout 成功即表示无密码，不应生成或写入密码文件
• 日志中不会记录“空密码加载失败”，排查时不能依赖 error.log，必须查进程 + 查文件内容