nginx在泛域名与主域名共用ip和443端口时，因证书路径配置错误、server_name重叠或证书链混杂，导致错发证书引发客户端校验失败；须逐项验证各server块的ssl_certificate路径、subject与san是否严格匹配对应域名。
泛域名（如 *.example.com）和主域名（如 example.com）共用同一 IP 和 443 端口时，Nginx 可能因 SNI 匹配逻辑或证书文件误用，把本该发给 www.example.com 的证书链错发成泛域名证书，或反过来——导致客户端校验失败、报“证书不匹配”“无法验证服务器身份”。这不是 Nginx “随机选”，而是配置细节没对齐引发的张冠李戴。核心要确认：**每个 server 块是否真正加载了它该用的 fullchain.pem，且该文件内容与域名完全对应**。
确认每个 server 块实际返回的证书内容
别看配置写了什么，要看 Nginx 实际发出去的是什么：
- 对主域名执行：
openssl s_client -connect example.com:443 -servername example.com -showcerts 2>/dev/null | openssl x509 -noout -subject -ext subjectAltName - 对泛域名子站执行（如 www 或 api）：
openssl s_client -connect www.example.com:443 -servername www.example.com -showcerts 2>/dev/null | openssl x509 -noout -subject -ext subjectAltName - 对比两者的
subject和Subject Alternative Name：如果www.example.com返回的是泛域名证书（CN=*.example.com），而example.com自身却返回了另一张不含example.com的证书，说明证书文件被复用或路径写错
检查 ssl_certificate 路径是否严格隔离
常见错误是多个 server 块共用同一个证书路径，或路径拼写模糊（如漏掉子目录、软链接指向错误）：
- 主域名块必须明确指向专属证书：
ssl_certificate /etc/nginx/certs/example.com/fullchain.pem; - 泛域名块也必须独立：
ssl_certificate /etc/nginx/certs/wildcard.example.com/fullchain.pem; - 执行
ls -l检查路径是否存在、是否为真实文件（非 dangling symlink）；用cat查看两个fullchain.pem的第一行subject是否分别含CN=example.com和CN=*.example.com
排查 server_name 重叠导致的隐式 fallback
Nginx 不会“智能降级”，但若请求 Host 头未命中任何 server_name，就会退回到监听该端口的第一个 HTTPS server 块（即默认 server）：
- 确保主域名块不含通配符：
server_name example.com www.example.com;✅server_name *.example.com;❌（不要混在同一个块里） - 泛域名块应单独存在，且不能覆盖主域名：
server_name *.example.com;——它匹配api.example.com、blog.example.com，但不匹配example.com（无点） - 检查是否有遗漏的域名（如
shop.example.com）未被任一server_name显式覆盖，从而意外落入泛域名块并拿到错误证书链
验证证书链本身是否干净无交叉
即使路径正确，若某张 fullchain.pem 里误塞了另一张证书的内容，也会造成“发错链”：
- 打开主域名的
fullchain.pem，确认只有两段：
第一段subject=CN=example.com，第二段是 Let’s Encrypt R3 或对应 CA 的中间证书
不能出现CN=*.example.com或其他域名的证书块 - 同理检查泛域名证书文件，里面不能混入主域名的终端证书
- 用
openssl x509 -in fullchain.pem -noout -text | grep -A1 "Subject:"快速逐段核对
不复杂但容易忽略：证书链张冠李戴，往往不是 Nginx 逻辑出错，而是人手配置时路径抄错、文件覆盖、或 SAN 列表没对齐。每次改完 reload 后，坚持用 openssl s_client -servername 验证目标域名，比刷浏览器可靠十倍。
