最准确的证书链验证方式是在nginx服务器本地用openssl命令实测：运行openssl s_client -connect domain.com:443 -servername domain.com -showcerts，检查输出中-----begin certificate-----出现次数及顺序，确保域名证书后紧接中间证书、无空行、无根证书或私钥。
直接在 Nginx 服务器本地用 OpenSSL 命令验证最准，不用依赖浏览器或第三方网站——因为 Nginx 实际发给客户端的证书链，才是安卓、Python requests、微信小程序等严格校验场景真正看到的内容。
用 openssl s_client 检查 Nginx 实际返回的证书链
这条命令模拟客户端连接，看 Nginx 当前配置到底发了哪些证书：
openssl s_client -connect your-domain.com:443 -servername your-domain.com -showcerts 2>/dev/null关键看输出中 -----BEGIN CERTIFICATE----- 出现几次：
- 只出现 1 次 → 仅返回了域名证书，中间证书缺失，链不完整
- 出现 2 次或以上 → 第一个是你的域名证书，后面是中间证书（如 Let’s Encrypt R3），说明链已发送
再快速确认顺序是否正确，加一行过滤：
openssl s_client -connect your-domain.com:443 -showcerts 2>/dev/null | grep "subject\|issuer"第一段 subject 应含你的域名；第二段 issuer 应与第一段 subject 匹配（即中间证书签发了你的证书）。
检查 Nginx 配置中 ssl_certificate 文件内容
Nginx 不会自动补全证书链，它只原样发送 ssl_certificate 指向的 PEM 文件。所以必须打开这个文件人工核对：
- 文件开头必须是你自己的域名证书（subject 含你的域名）
- 紧接着是中间证书（不能是根证书）
- 每张证书以 -----BEGIN CERTIFICATE----- 开头，-----END CERTIFICATE----- 结尾
- 两段之间**不能有空行**，也不能混入私钥或注释
常见错误：把 ca-bundle.crt 单独当 fullchain 用，或误把 root.crt 也拼进去。
用在线工具交叉验证（辅助手段）
访问 SSL Checker 或 decoder.link，输入域名，重点看：
- Certificate Chain 是否显示 “OK”
- Chain issues 是否提示 “Incomplete” 或 “Extra certs”
- 列出的证书层级是否为：Domain → Intermediate → （Root，但不应由 Nginx 发送）
注意：在线工具结果仅供参考，最终以 s_client 实测为准，因部分工具会自动补全链，掩盖真实问题。
验证安卓等敏感客户端是否修复
浏览器缓存可能掩盖问题，需绕过缓存验证：
- 安卓 Chrome 中访问
chrome://net-internals/#hsts，删除对应域名的 HSTS 记录 - 换用无痕模式或另一台未访问过的安卓设备测试
- 更可靠方式：在安卓终端（如 Termux）执行：
openssl s_client -connect your-domain.com:443 -servername your-domain.com 2>/dev/null | openssl x509 -noout -text | grep "Subject:"
若能连续看到你的域名证书和中间证书的 Subject 信息，说明链已生效。
