验证nginx编译产物签名需先由你用私钥对objs/nginx签名，再用公钥验证；同时应签名conf/nginx.conf并联合校验，以确保二进制与配置均未被篡改且来源可信。
验证 Nginx 源码编译后的二进制文件签名，核心不是验证“Nginx 官方签名”（因为源码编译产物本身无官方签名），而是验证你或团队对本次构建产物所做的**可信签名**——即你主动用私钥签的数字签名。这属于自主安全部署环节，需提前建立签名流程。
确认是否已执行过签名操作
源码编译出的 objs/nginx 默认不带签名。若要验证签名，必须在编译完成后、部署前，由你主动执行签名命令。常见做法是：
- 用 OpenSSL 生成密钥对（一次生成，长期复用）
- 用私钥对二进制文件计算 SHA256 并签名：
openssl dgst -sha256 -sign nginx.key -out nginx.sig objs/nginx - 将公钥（
nginx.pub）和签名文件（nginx.sig）一并分发
用公钥验证签名有效性
拿到 objs/nginx、nginx.sig 和 nginx.pub 后，运行以下命令验证：
openssl dgst -sha256 -verify nginx.pub -signature nginx.sig objs/nginx- 若输出 Verified OK，说明该二进制未被篡改，且由对应私钥持有者签发
- 若报错 verification failure，则文件内容或签名已损坏/被替换
结合配置文件签名做联合校验
仅验证二进制不够，攻击者可能替换配置文件来改变行为。生产中建议同步签名关键配置：
- 对
conf/nginx.conf执行同样签名流程：openssl dgst -sha256 -sign nginx.key -out nginx.conf.sig conf/nginx.conf - 部署时先验二进制签名，再验配置签名，两者都通过才允许
nginx -t和启动 - 可写成简单 shell 脚本，在 CI/CD 的发布检查阶段自动执行
注意与哈希校验的区别
SHA256 校验（如 sha256sum objs/nginx）只防意外损坏，不防恶意替换；而数字签名既保完整性，也保来源可信。二者可并存：
- 用签名确认“是谁发布的、是否被篡改”
- 用哈希值快速比对两个文件是否字节一致（例如上线前比对构建机和目标机上的二进制）
