最可靠方法是用openssl s_client直测tls握手：openssl s_client -connect ip:443 -servername domain -showcerts | openssl x509 -noout -subject，应精确匹配对应域名cn或san；还需验证证书链完整性及无sni时的兜底行为。

直接用 openssl s_client 测试最可靠，它绕过浏览器缓存、CDN 和中间层，直击 TLS 握手阶段，能真实反映 Nginx 是否按域名返回了正确的证书。

用 OpenSSL 模拟不同域名的 SNI 请求

在服务器或任意能访问你 Nginx 的机器上运行：

• 测试 site-a.com：
  openssl s_client -connect your-server-ip:443 -servername site-a.com -showcerts 2>/dev/null | openssl x509 -noout -subject
  应输出类似 CN = site-a.com 或包含 DNS:site-a.com 的 SAN 信息
• 测试 site-b.net：
  openssl s_client -connect your-server-ip:443 -servername site-b.net -showcerts 2>/dev/null | openssl x509 -noout -subject
  应返回 CN = site-b.net 对应的证书主体，不能和上一条结果一样

检查证书链是否完整

仅验证 subject 不够，还要确认返回的是 fullchain.pem（含中间证书）：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

• 加 -text 参数看详情：
  openssl s_client -connect your-server-ip:443 -servername site-a.com -showcerts 2>/dev/null | openssl x509 -noout -text | grep "Subject Alternative Name" -A1
• 输出中必须列出该域名所有有效 SAN 条目（如 DNS:site-a.com, DNS:www.site-a.com），且无缺失

验证无 SNI 请求的兜底行为

模拟老旧客户端（不发 SNI）：

• 去掉 -servername 参数：
  openssl s_client -connect your-server-ip:443 -showcerts 2>/dev/null | openssl x509 -noout -subject
• 结果应与你配置的 default_server 块或配置文件中第一个 server 块的证书一致
• 若未设兜底块，会返回第一个定义的 server 的证书——需确认这是否符合预期

排查常见误判点

如果结果不符合预期，优先检查这几项：

• Nginx 是否已重载：nginx -t && nginx -s reload，避免配置未生效
• OpenSSL 版本是否支持 SNI：nginx -V 2>&1 | grep -i openssl，必须显示 ≥1.0.2 的 OpenSSL，不能是 BoringSSL
• 每个 server 块是否都写了 listen 443 ssl http2，漏掉 ssl 参数会导致证书不加载
• 证书路径是否写错或权限不足（privkey.pem 应为 600 权限）