nginx证书平滑更新的关键是不中断https连接、不重启服务、新旧证书无缝切换：先确认配置中ssl_certificate和ssl_certificate_key的绝对路径，再用mv原子替换新证书文件并设正确权限（644/600），最后执行nginx -t && nginx -s reload完成毫秒级热重载，旧连接沿用旧证书，新连接启用新证书。

Linux 下 Nginx 证书到期前平滑更新，关键在于不中断 HTTPS 连接、不重启服务、新旧证书无缝切换。整个过程不需要停机，用户访问无感知，所有已建立的 TLS 连接继续用旧证书，新连接自动使用新证书。

确认当前证书路径和配置

先查清 Nginx 配置中实际引用的证书位置，避免改错文件或路径：

• 运行 grep -r "ssl_certificate" /etc/nginx/ 或直接打开对应 server 块配置文件（如 /etc/nginx/sites-available/your-domain）
• 定位两行关键配置：
  ssl_certificate /path/to/fullchain.pem;
  ssl_certificate_key /path/to/privkey.pem;
• 记下这两个绝对路径，后续替换必须严格对应，不建议改配置文件本身

原子化替换证书文件

不能直接覆盖原文件，否则 reload 时可能读到不完整内容。要用 mv 实现原子写入：

Zynq Linux Hardware Debug

Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。

下载

• 把新证书（fullchain.pem、privkey.pem）上传到临时目录，例如 /tmp/new-certs/
• 校验新证书格式有效：
  openssl x509 -in /tmp/new-certs/fullchain.pem -noout -text && openssl rsa -in /tmp/new-certs/privkey.pem -check -noout
• 执行原子替换：
  mv /tmp/new-certs/fullchain.pem /etc/nginx/ssl/example.com/fullchain.pem
  mv /tmp/new-certs/privkey.pem /etc/nginx/ssl/example.com/privkey.pem
• 设置权限：
  chmod 644 /etc/nginx/ssl/example.com/fullchain.pem
  chmod 600 /etc/nginx/ssl/example.com/privkey.pem

安全重载配置（非重启）

reload 是平滑切换的核心动作，它启动新 worker 进程，旧进程继续服务直到自然退出：

• 先测试配置语法：nginx -t —— 必须显示 test is successful
• 再执行重载：nginx -s reload（若用 systemd 管理，则用 systemctl reload nginx）
• 不要用 systemctl restart nginx 或 kill -9，那会强制断开所有 HTTPS 连接
• 观察日志：tail -f /var/log/nginx/error.log，确认无证书加载错误

验证新证书已生效

reload 后需确认新证书已在新连接中启用：

• 本地检查有效期：openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -dates
• 对比浏览器地址栏锁图标 → “证书” → “有效期”，应显示新证书时间范围
• 可选：用在线工具如 https://www.ssllabs.com/ssltest/ 全面检测链完整性、OCSP Stapling 等