关键不是猜设备行为，而是用openssl s_client直连验证证书链完整性：只输出1个BEGIN CERTIFICATE则安卓/微信等必报错；fullchain.pem须严格为域名证书+中间证书两段、无空行无根证书，并启用OCSP stapling兼容旧系统。
测试不同终端对 Nginx 证书链的解析兼容性，关键不是“猜设备行为”，而是用统一方法模拟各类终端的真实验证逻辑——因为安卓、旧 iOS、微信小程序、curl、Python requests 等，底层都依赖 OpenSSL 或 BoringSSL 的证书链校验规则，只是严格程度不同。
用 openssl s_client 模拟最严苛客户端视角
这是最直接、最可靠的方式，它不依赖浏览器缓存或中间代理，直连 Nginx 实际发出的证书序列：
- 运行命令：openssl s_client -connect your-domain.com:443 -servername your-domain.com -showcerts 2>/dev/null
- 观察输出中 -----BEGIN CERTIFICATE----- 出现次数：只出现 1 次 → 安卓（7.0+）、部分微信版本、Java 客户端必报“证书不可信”
- 再加过滤看匹配关系：openssl s_client -connect your-domain.com:443 -showcerts 2>/dev/null | grep "subject\|issuer"，第一段 subject 必须含你的域名，第二段 issuer 必须等于第一段 subject（即中间证书签发了你）
针对安卓设备做专项验证
安卓系统（尤其 Android 7–10）自带的 Conscrypt 库对链顺序和完整性极其敏感：
- 在真实安卓手机 Chrome 无痕模式访问，若提示 NET::ERR_CERT_AUTHORITY_INVALID，大概率是链缺失或顺序错
- 用 adb 或 Termux 执行：openssl s_client -connect your-domain.com:443 -CAfile /system/etc/security/cacerts/* 2>/dev/null（需 root 或模拟），可复现系统级校验逻辑
- 重点检查 fullchain.pem 文件：第一段必须是你域名的 cert.pem，第二段必须是中间证书（如 Let’s Encrypt R3 或 Sectigo RSA Domain CA），绝不能包含根证书
交叉验证工具与典型终端行为对照
在线工具可辅助定位，但要理解它们的“补全机制”可能掩盖真实问题：
- SSL Labs (ssllabs.com)：看 “Certificate Chain” 是否标为 OK，若显示 “Incomplete” 或 “Extra certs”，说明 Nginx 发送的链本身有问题
- decoder.link：输入域名后展开 “Certificate Chain”，确认层级是否为：Domain Cert → Intermediate CA（无 Root）
- curl -v https://your-domain.com：若返回 “unable to get local issuer certificate”，说明本地 curl 缺少中间 CA，反向印证 Nginx 没发全链
验证私有终端或老旧系统兼容性
某些嵌入式设备、银行 App、微信小程序 SDK 使用精简版 TLS 栈，对 PEM 结构更挑剔：
- 确保 fullchain.pem 中两段证书间无空行、无 Windows 换行符（\r\n）、无注释、无私钥内容
- 用命令检查格式洁癖：grep -n "^-----" fullchain.pem，应仅输出第 1 行和第 N 行（N > 1），且中间无空行
- 若服务需兼容 Android 5.x 或 iOS 9，建议额外启用 OCSP stapling：ssl_stapling on; ssl_stapling_verify on;，并配置 ssl_trusted_certificate 指向 same fullchain.pem
