要让nginx在同一虚拟主机上同时支持国密与国际算法，必须使用tongsuo或gmssl替换openssl，编译定制nginx，配置多协议多套件协商（如ssl_protocols tlsv1.1 tlsv1.2 tlsv1.3；ssl_ciphers tls_sm4_sm3:ecdhe-sm4-sm3:aes128-gcm-sha256），并确保证书含sm2公钥及正确私钥格式。
要让 Nginx 在同一虚拟主机上同时支持国密（SM2/SM3/SM4）和国际算法（RSA/ECC + AES + SHA256），关键不是“双证书并列加载”，而是通过兼容性握手协商机制实现客户端自主选择最优算法栈。原生 Nginx 不支持该能力，必须依赖国密增强版 OpenSSL（如 Tongsuo 或 GMSSL）及其扩展指令，并配合正确的 cipher 优先级与协议组合。
使用支持国密的 OpenSSL 替代库
官方 OpenSSL 和标准 Nginx 均不识别 SM 系列算法。必须替换为国密分支：
- 推荐选用 Tongsuo（蚂蚁开源，长期维护，TLS 1.3 国密支持稳定）或 GMSSL（较成熟，文档丰富）
- 编译 Nginx 时需显式指定
--with-openssl=/path/to/tongsuo，而非系统 OpenSSL - 验证是否生效：
tongsuo version应显示含sm2sm3sm4的 cipher list；openssl ecparam -list_curves | grep sm2有输出
单 virtual host 实现双栈握手的核心配置
无需监听多个端口或重复 server 块。只需在同一个 server { ... } 内启用多协议+多套件协商：
-
ssl_protocols TLSv1.1 TLSv1.2 TLSv1.3—— TLCP 对应 TLS 1.1，但现代部署建议保留 1.2/1.3 兼容国际客户端 -
ssl_ciphers "TLS_SM4_SM3:ECDHE-SM4-SM3:SM4-SM3:ECDHE-ECDSA-AES128-GCM-SHA256:AES128-GCM-SHA256"—— 国密套件置前，确保国密客户端优先协商国密通道；国际套件紧随其后，供 Chrome/Firefox 等自动回退 -
ssl_prefer_server_ciphers on—— 强制服务端主导 cipher 选择，避免客户端低优先级套件干扰 - 仅需一组证书文件：
ssl_certificate指向 SM2 签名证书（含 SM2 公钥），ssl_certificate_key指向对应 SM2 私钥 —— 国密 TLS 握手由签名证书驱动，加密证书（ssl_certificate_enc）仅在严格双证模式（如金融网关）中才需额外配置
证书准备与格式要求
双算法并非指“两个独立证书分别加载”，而是同一证书链需满足国密合规性：
- 申请时选择支持 SM2 签名 + SHA256/RSA 双签发 的 CA（如 CFCA、沃通、DNSPod 国密版），获得一份证书文件（PEM 格式），其 SubjectPublicKeyInfo 中包含 SM2 公钥
- 私钥必须为 SM2 格式：
openssl ecparam -name sm2p256v1 -genkey -out server.key，不可混用 RSA 私钥 - 若需完全双轨（如银行对接要求 SM2 签名 + SM4 加密分离），则需额外配置
ssl_certificate_enc和ssl_certificate_key_enc（仅 Tongsuo/GMSSL 编译的 Nginx 支持）
验证与调试要点
配置生效≠握手成功，必须实测协商结果：
- 用国密客户端测试：
tongsuo s_client -connect example.com:443 -cipher TLS_SM4_SM3 -tls1_2，确认返回中New, TLSv1.2, Cipher is TLS_SM4_SM3 - 用 Chrome 访问，F12 → Security → Connection → 查看协商协议与 cipher，应为
TLS 1.3+TLS_AES_128_GCM_SHA256或类似国际套件 - 检查 Nginx error log：若出现
no suitable signature algorithm或ssl handshake failed，多因证书公钥类型不匹配或 cipher list 未包含客户端支持项
