Nginx 中 ssl_certificate 与域名绑定的关键细节-Nginx-PHP中文网

nginx中ssl_certificate必须与域名、私钥、证书链严格匹配：域名需精确对应san字段，证书须为含中间ca的fullchain.pem，私钥需数学配对且权限600，二者必须同置于server块内并用绝对路径。

nginx 中 ssl_certificate 与域名绑定的关键细节

在 Nginx 中，ssl_certificate 不是简单指向一个.crt文件就能生效的——它必须和域名、私钥、证书链三者严丝合缝地对齐。配错任意一环，浏览器就可能显示“您的连接不是私密连接”，或者 Nginx 直接启动失败。

证书里写的域名，必须和 server_name 完全一致（包括 www 前缀）。比如证书签发的是 www.example.com，那配置里就不能只写 example.com；反之亦然。通配符证书（如 *.example.com）能覆盖所有一级子域，但不包括根域本身。

多域名证书需在 SAN 字段中明确列出所有要支持的域名
用 openssl x509 -in cert.pem -text -noout | grep -A1 "Subject Alternative Name" 可查看实际支持的域名
测试时建议用 curl -I https://yourdomain.com 或在线工具（如 SSL Labs）验证域名匹配状态

只放域名证书（yourdomain.crt）会导致部分客户端（尤其是 Android 和旧版 iOS）无法验证信任路径，报“证书不可信”。Nginx 要求把中间证书追加在域名证书后面，组成一个 fullchain 文件。

Nginx

在宝塔面板中轻松管理Nginx高性能Web服务器。提供可视化配置反向代理、负载均衡、SSL证书及HTTP缓存功能，一键优化高并发性能，助您高效搭建稳定、快速的网站运行环境。

下载

Nginx 加载私钥时不做“文件名匹配”，而是校验密钥参数是否一致。哪怕文件名对得上，只要模数（modulus）不同，就会握手失败。

验证命令：
openssl x509 -noout -modulus -in example.com.crt | openssl md5
openssl rsa -noout -modulus -in example.com.key | openssl md5
两行输出 MD5 必须完全相同
若私钥被加密（提示 Enter pass phrase），需先解密：
openssl rsa -in key_encrypted.key -out key_decrypted.key
私钥权限必须为 600，且属主为运行 Nginx worker 的用户（通常是 nginx 或 www-data）

这两个指令不能写在 http 块顶层，也不能跨 server 块拆开使用——它们必须成对出现在同一个 server { ... } 块内，并用绝对路径。

✅ 正确：
ssl_certificate /etc/nginx/ssl/example.com.fullchain.pem;
ssl_certificate_key /etc/nginx/ssl/example.com.key;
❌ 错误：
使用相对路径（如 ./cert.pem）
内联写私钥（Nginx 不支持）
把 ssl_certificate 放 http 块，ssl_certificate_key 放 server 块
systemd 管理下工作目录不确定，相对路径极易失效