核心是让nginx发送安卓和ios均认可的证书链：仅含域名证书+一级中间证书，顺序严格、无根证书、无空行，并启用ocsp stapling；须用openssl s_client验证输出为2段begin certificate，且fullchain.pem经grep -c确认段数为2。
核心是让 Nginx 发送一条安卓和苹果都认的证书链：只含域名证书 + 一级中间证书，顺序严格、无根证书、无空行，再配合 OCSP stapling 提升旧系统兼容性。
先确认问题出在链本身，不是设备差异
安卓（7.0+）和 iOS/macOS 都用 OpenSSL/BoringSSL 或 Apple CryptoKit 校验证书链，但严格程度不同。真正导致“有的能开、有的报错”的，95% 是 Nginx 实际发出的链不完整或顺序错——不是设备“不兼容”，而是它没收到能走通的信任路径。
用这句命令直击真相：
openssl s_client -connect your-domain.com:443 -showcerts 2>/dev/null | grep "BEGIN CERTIFICATE"
→ 输出只有 1 行：安卓必报错，iOS 可能侥幸通过（靠缓存或自动补全）；
→ 输出 2 行：基本覆盖安卓 + 主流 iOS；
→ 输出 3 行且最后一段是自签名（Issuer == Subject）：多发了根证书，冗余但一般无害。
拼对 fullchain.pem：安卓和苹果都认的最小安全集
文件必须满足三个硬条件：
Linux 性能分析与调优专家，覆盖 CPU、内存、磁盘 I/O、网络、内核参数、编译优化、容器/K8s。适用场景：系统卡顿/高负载、内存不足/OOM/Swap 高、CPU 异常/iowait 高。
- 第一段是你的域名证书（
your-domain.crt），Subject 含你的域名 - 第二段是中间证书（如 Let’s Encrypt R3 或 Sectigo RSA Domain CA），Issuer 必须等于第一段的 Subject
- 不能含根证书（如 ISRG Root X1）、不能有 BOM、不能有多余空行或空格
拼接命令（Linux/macOS）：
cat your-domain.crt intermediate.crt > fullchain.pem
验证是否达标：
grep -c "BEGIN CERTIFICATE" fullchain.pem → 必须返回 2
Nginx 配置只改两处，别碰 ssl_trusted_certificate
错误配置常把链拆开或指错文件：
-
必须：ssl_certificate 指向你刚生成的
fullchain.pem -
必须：ssl_certificate_key 指向原始私钥（
your-domain.key） -
不要：用
cert.pem单独配 ssl_certificate —— 这等于只发一半链 - 别误用：ssl_trusted_certificate 是给 Nginx 自己做 OCSP 验证用的，不影响客户端收到什么
顺手加上 OCSP stapling（提升安卓 5–6 和部分旧 iOS 兼容性）：
ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /path/to/fullchain.pem;
验证与收尾：别信浏览器缓存，用真实链说话
改完 reload nginx 后，立刻验证：
- 重跑
openssl s_client命令，确认输出稳定为 2 段证书 - 用安卓手机 Chrome 无痕模式访问，看是否还有 NET::ERR_CERT_AUTHORITY_INVALID
- 清一次 HSTS 缓存（尤其测试过失败的安卓机）：设置 → 系统 → 日期和时间 → 自动确定日期和时间（确保时间准）；再进 Chrome 设置 → 隐私 → 清除浏览数据 → 勾选“Cookie 及网站数据”“缓存的图片和文件”
