nginx 源码编译静态链接 openssl 的核心是使用 --with-openssl=/path/to/openssl-src 指向未安装的 openssl 源码根目录，确保其含 configure 和 include/ 等目录，并配合 no-shared -fpic 编译静态库，由 nginx 自动构建并内嵌，不可用预编译库或系统路径。
Linux 源码编译 Nginx 时静态链接 OpenSSL，核心是让 Nginx 在构建过程中直接使用 OpenSSL 源码生成的静态库（libssl.a 和 libcrypto.a），而非动态链接系统或安装路径下的 .so 文件。这能避免运行时依赖、提升版本可控性，也便于分发单体二进制。
确保 OpenSSL 源码已正确编译出静态库
静态链接的前提是 OpenSSL 自身已编译出静态库文件，且不安装到系统路径：
- 解压官方源码（如
openssl-3.0.13.tar.gz）到独立目录，例如/opt/src/openssl-3.0.13 - 进入该目录，执行带
no-shared和-fPIC的配置（关键！）：./Configure --prefix=/tmp/unused --openssldir=/tmp/unused no-shared -fPIC linux-x86_64
（平台名按实际调整，如linux-aarch64；--prefix只是占位，不生效） - 运行
make -j$(nproc)—— 成功后检查当前目录下是否存在libssl.a和libcrypto.a - 不要执行
make install，也不要用包管理器安装openssl-devel，否则可能干扰 Nginx 的 configure 探测
Nginx configure 必须指向 OpenSSL 源码根目录
Nginx 官方只支持通过 --with-openssl 指向未安装的源码目录，它会自动调用该目录下的 Configure 和 make 流程，并默认优先使用静态库：
- 在 Nginx 源码目录中运行 configure，必须包含：
--with-openssl=/opt/src/openssl-3.0.13
（路径必须是解压后的顶层目录，含Configure、include/、crypto/等） - 显式启用 SSL 模块：
--with-http_ssl_module（虽部分版本默认开启，但建议保留） - 可选：加
--with-openssl-opt="no-shared -fPIC"强化静态行为（与 OpenSSL 自身配置一致） - 切勿写成
--with-openssl=/usr/local/ssl或--with-openssl=/usr/lib—— 这会导致 configure 失败或回退到系统动态库
验证是否真正静态链接 OpenSSL
编译完成后（make && sudo make install），需从多个角度确认：
- 查看 configure 输出末尾是否有：
checking for OpenSSL library ... found + using OpenSSL from /opt/src/openssl-3.0.13 - 运行：
objs/nginx -V 2>&1 | grep -i openssl
输出应类似：built with OpenSSL 3.0.13（版本号匹配你指定的源码） - 检查动态依赖：
ldd objs/nginx | grep ssl
若无任何输出，说明 OpenSSL 已静态链接（常见于完整静态构建）；若有输出，说明仍动态链接了部分组件（可能是 zlib 或 pcre）——但只要 OpenSSL 相关项消失，即达标 - 更精准验证：用
readelf -d objs/nginx | grep NEEDED，确认没有libssl.so或libcrypto.so
补充说明：为什么不能用预编译的 .a 文件直接链接？
Nginx 的构建系统不接受外部提供的静态库路径（如 --with-openssl-lib 不存在）。它只认源码目录，并在内部调用 make build_libs 生成所需对象。手动拷贝 libssl.a 到 /usr/lib 或修改 Makefile 强行链接，不仅绕过官方流程、易出错，还会导致头文件版本不匹配、符号缺失等问题。坚持用 --with-openssl=源码路径 是唯一可靠方式。
