必须配齐proxy_ssl_verify、proxy_ssl_trusted_certificate、proxy_ssl_name和proxy_ssl_server_name四项指令并置于同一location或upstream块内，否则证书校验静默失效或返回502；缺一不可。
要让 Nginx 真正校验后端 HTTPS 服务的证书是否有效，不能只写 proxy_ssl_verify on;。它必须和另外三项指令一起生效，否则连接会直接失败（返回 502），日志里显示 SSL_do_handshake() failed 或 certificate verify failed。
必须配齐的四个核心指令
这四项必须写在同一个 location 或 upstream 块内，缺一不可：
- proxy_ssl_verify on; —— 启用校验开关（默认是 off，不设等于完全不检查）
- proxy_ssl_trusted_certificate /path/to/ca-bundle.crt; —— 指向 PEM 格式的可信 CA 文件，只含根证书和中间 CA，不能混入私钥或后端证书
-
proxy_ssl_name "api.internal.example.com"; —— 显式声明期望的域名，用于匹配证书中的 SAN；若
proxy_pass用的是 IP（如https://10.0.1.5）或变量，此项必不可少 - proxy_ssl_server_name on; —— 启用 TLS SNI，确保握手时向后端发送正确域名，避免返回默认或错配证书
验证深度与证书链匹配
proxy_ssl_verify_depth 决定 Nginx 最多验证几级证书链，默认为 1，但多数生产环境是三级结构（终端 → 中间 CA → 根 CA）：
aperture: the L402 aware reverse proxy
下载
安装并运行 Aperture（Lightning Labs 的 L402 闪电反向代理），用于创建 L402 付费墙、配置付费 API 端点、为其他代理托管付费内容或测试 L402 认证流程。
- 自签名证书：设为
1，且proxy_ssl_trusted_certificate文件中必须包含该自签根证书 - Let’s Encrypt 等商用证书：通常需设为
2或3 - 设得过高（如 5）虽不报错，但会降低验证强度，不推荐
后端证书链必须完整
Nginx 不会自动补全证书链，只验证后端实际返回的内容。90% 的 verify failed 错误源于后端没发全链：
- 用命令
openssl s_client -connect 10.0.1.5:443 -servername api.internal.example.com -showcerts直连后端，观察输出中Certificate chain是否包含至少两段（终端 + 中间 CA） - 若只返回一段，需修改后端配置（如 Nginx 的
ssl_certificate应指向fullchain.pem，而非单个cert.pem） - 确认后端证书的 SAN 字段确实包含
proxy_ssl_name所设的值（注意大小写、通配符限制）
增强安全性的补充建议
这些不是必需项，但在生产环境中能规避常见绕过风险：
-
禁用会话复用：
proxy_ssl_session_reuse off;，防止异常证书被缓存复用 -
限定协议版本：
proxy_ssl_protocols TLSv1.2 TLSv1.3;，避免 TLS 降级干扰校验 -
权限与格式检查：确保
proxy_ssl_trusted_certificate文件路径正确、Nginx worker 进程可读，且内容为纯 PEM 格式（每张证书以-----BEGIN CERTIFICATE-----开头）
