国际浏览器无法识别国密双证书，本质不是nginx配置错误，而是信任链与协议支持的天然断层：chrome、firefox、safari默认不内置国密根ca，也不协商国密密码套件，因此根本不会尝试sm2证书，仅走rsa路径；排查重点应是rsa路径是否中断，而非sm2未被选用。
国际浏览器无法识别国密双证书，本质不是Nginx配置错误，而是信任链与协议支持的天然断层。Chrome、Firefox、Safari等默认不内置国密根CA，也不协商国密密码套件（如TLS_ECDHE_SM2_WITH_SM4_SM3），所以它们根本不会尝试使用SM2证书——Nginx即使配了SM2证书，这些浏览器也视而不见，直接走RSA路径。真正要排查的，是“为什么该走RSA时却失败了”，而不是“为什么没走SM2”。
确认客户端实际协商的是RSA路径
打开Chrome开发者工具 → Security标签页 → 点击“View certificate”，查看当前连接使用的证书是否为RSA证书（Subject中含RSA签名算法，Issuer为DigiCert/Sectigo/CFCA国际根或中级CA）。若显示SM2证书且提示“不受信任”，说明客户端误选了国密路径，需检查TLS版本和密码套件设置；若显示空白或报错，则RSA路径已中断，问题出在RSA证书链或Nginx基础SSL配置。
验证RSA证书链完整性与格式
- 用
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com直连测试，观察返回的证书链是否完整输出（包含域名证书+中间CA+根CA） - 确保
ssl_certificate指向合并后的PEM文件（域名证书在前，中间证书在后，根证书通常无需包含） - 避免混用DER与PEM：RSA证书必须为PEM格式，不可直接使用.crt或.cer二进制文件
- 检查私钥是否匹配：
openssl x509 -noout -modulus -in rsa_cert.pem | openssl md5与openssl rsa -noout -modulus -in rsa_key.key | openssl md5输出应一致
检查Nginx是否意外禁用了RSA兼容套件
国密版Nginx（如基于Tongsuo或沃通模块编译）常默认启用国密套件并关闭部分传统套件。需显式保留国际兼容密码：
- 在server块中添加：
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384; - 禁用
ssl_prefer_server_ciphers off;（默认即off），允许客户端优先选择其支持的最强套件 - 避免使用
ssl_protocols TLSv1.3;单写——TLS 1.3移除了RSA密钥交换，必须搭配ECDHE；若客户端老旧（如Windows 7 + IE11），需保留TLSv1.2
排除SNI与证书绑定逻辑干扰
Nginx 1.24+支持多证书SNI自动匹配，但前提是所有证书都绑定在同一listen指令下：
- 确认配置中仅有一个
listen 443 ssl http2;，而非分别监听443和某个国密专用端口 - SM2与RSA证书必须共用同一
server_name，不能通过不同server块分离 - 若使用旧版Nginx（
