nginx不支持运行时自动读取私钥密码，必须前置解密：用openssl将加密私钥转为无密码格式并设600权限，属主为nginx运行用户；推荐通过systemd execstartpre自动化执行解密与权限设置。
Nginx 本身不支持在运行时自动读取私钥密码，也没有 ssl_password_file 这类配置指令——该指令不存在于任何官方开源版 Nginx 中，配置会直接报错 “unknown directive”。所谓“密码保护+自动加载”，本质是让 Nginx 启动前拿到已解密的私钥文件，而非让它自己去解密。安全、可落地的做法只有一种逻辑：把密码验证环节前置到启动流程中，由系统级机制完成解密或注入，Nginx 始终加载无密码私钥。
确认私钥是否受密码保护
执行以下命令验证：
openssl rsa -noout -check -in /etc/nginx/ssl/server.key
若提示 Enter pass phrase for 或报错 RSA key error: bad decrypt，说明私钥加密；若直接输出 RSA key ok，则无需处理。
用 OpenSSL 预解密并设权（最常用）
将加密私钥（如 server.key.enc）在启动前转为无密码格式，并严格控制权限：
- 准备密码文件：
/etc/nginx/secrets/pass.txt，仅含一行口令，权限必须为600，属主为root - 解密命令：
openssl rsa -in server.key.enc -out server.key -passin file:/etc/nginx/secrets/pass.txt - 生成的
server.key必须设为600，且属主属组为 Nginx 运行用户（如nginx:nginx） - 原始加密私钥和密码文件严禁放入 Git 仓库、Web 可访问目录或临时路径
通过 systemd 自动化执行（推荐）
在 /etc/systemd/system/nginx.service.d/override.conf 中添加：
ExecStartPre=/usr/bin/openssl rsa -in /etc/nginx/ssl/server.key.enc -out /etc/nginx/ssl/server.key -passin file:/etc/nginx/secrets/pass.txtExecStartPre=/usr/bin/chmod 600 /etc/nginx/ssl/server.keyExecStartPre=/usr/bin/chown nginx:nginx /etc/nginx/ssl/server.key
之后运行 systemctl daemon-reload && systemctl restart nginx 即可生效。
高安全场景的替代方案
对合规性要求高的环境，可选用更纵深的防护方式：
-
LUKS 加密卷 + 自动挂载：把密码文件放在 LUKS 分区中，用
systemd-cryptsetup配合 TPM2 或内核 keyring 解锁，Nginx service 添加RequiresMountsFor=/safe/ssl -
tmpfs + Vault Agent 注入：将密码写入内存路径（如
/dev/shm/nginx-pass），由 Vault Agent 拉取后立即设权，关机即清空，无磁盘残留 - CI/CD 预解密部署：在 GitHub Actions 等可信构建环境中完成解密与权限设置，线上服务器全程不接触密码或加密私钥
