nginx -t 报 ssl 警告说明配置校验阶段已发现证书与私钥不匹配；需用 openssl 比对 modulus md5 值是否完全一致，并检查路径、权限、格式、bom、换行符及文件纯净度。
运行 nginx -t 时出现 SSL 相关警告（如 SSL_CTX_use_certificate_chain_file() failed 或 key values mismatch），说明 Nginx 在语法检查阶段已发现证书与私钥不匹配——这不是启动后才暴露的问题，而是配置校验环节就卡住了。关键在于：它只验证路径、格式和基础配对关系，不深入比对密钥数学一致性，所以必须结合后续手动验证才能准确定位。
看 nginx -t 的具体报错关键词
不同提示指向不同层级问题：
- “no such file or directory”：路径写错、文件不存在、软链接断裂，或 Docker 挂载未生效；
- “Permission denied”：私钥/证书权限过宽（如 644 以上）、属主不是 Nginx 工作用户、SELinux/AppArmor 拦截；
- “key values mismatch”：证书与私钥模数不一致，最常见原因；
- “PEM routines:...not a PEM file”：文件含 BOM、Windows 换行符、空行、注释或混入了非 PEM 内容（如私钥被粘进证书文件）。
用 openssl 快速比对证书与私钥是否为同一对
这是确认“不匹配”本质的唯一可靠方式。执行两行命令（替换为你的真实路径）：
openssl x509 -noout -modulus -in /etc/nginx/ssl/example.com.crt | openssl md5openssl rsa -noout -modulus -in /etc/nginx/ssl/example.com.key | openssl md5
两行输出的 MD5 值必须逐字完全相同（包括大小写与末尾换行）。不同＝不是一对，哪怕文件名一样、放同一目录也无效。若私钥是 PKCS#8 格式，改用 openssl pkey -noout -modulus -in ...。
检查私钥是否加密或格式异常
Nginx 默认拒绝加载带密码的私钥，也读不了被污染的文本：
- 运行
openssl rsa -check -in your.key，若提示输入pass phrase，说明加密，需先解密：openssl rsa -in your_encrypted.key -out your_decrypted.key； - 运行
file your.key，输出应为 ASCII text；若显示 UTF-8 Unicode (with BOM) text，说明有 BOM 头，用dos2unix your.key清理； - 私钥开头必须是
-----BEGIN RSA PRIVATE KEY-----或-----BEGIN PRIVATE KEY-----，不能是.pfx、.p12等二进制格式。
确认证书文件是否混入干扰内容
Nginx 的 ssl_certificate 文件必须纯净：
- 只能包含 PEM 格式的证书段（
-----BEGIN CERTIFICATE-----…-----END CERTIFICATE-----），可有多段（域名证 + 中间证），但绝不能含私钥、根证书或注释； - 用
head -n 5 your.crt和head -n 5 your.key快速肉眼核对开头，确保没互相粘贴错； - 若用了 Let’s Encrypt 的
fullchain.pem，确认它是cert.pem在前、chain.pem在后拼接而成，顺序颠倒也会触发 warning。
