静态编译openssl到nginx需三条件：指定openssl源码路径、禁用动态链接（ldflags强制静态库）、确保openssl已用no-shared编译出libssl.a/libcrypto.a；configure时--with-openssl必须指向源码目录，--with-ld-opt中用-wl,-bstatic/-bdynamic分段控制链接方式。
静态编译 OpenSSL 到 Nginx 中，本质是让 Nginx 在构建时把 OpenSSL 的代码（或静态库）直接打包进最终的 nginx 可执行文件，不依赖系统动态库 libssl.so 和 libcrypto.so。这对信创环境、离线部署、规避系统 OpenSSL 版本老旧或升级冲突非常实用——比如 openEuler/麒麟上默认 OpenSSL 1.1.1 或更老，而你又需要 TLS 1.3、国密支持或 CVE 修复，就得走这条路。
为什么不能只用 --with-openssl=DIR？
很多人以为加 --with-openssl=/path/to/openssl-src 就能静态链接，其实不是。Nginx configure 默认仍会尝试动态链接；要真正静态，必须同时满足三个条件：
- 指定 OpenSSL 源码路径（不是已安装的头文件或库路径）
- 禁用动态链接行为（通过 LDFLAGS 强制使用静态库）
- 确保 OpenSSL 本身已静态编译出
libssl.a和libcrypto.a
分步操作：从 OpenSSL 源码开始
以 OpenSSL 3.2.1（当前 LTS 版本）为例，假设目标是 aarch64 麒麟或 x86_64 openEuler：
- 下载并解压 OpenSSL：
wget https://www.openssl.org/source/openssl-3.2.1.tar.gz && tar -zxf openssl-3.2.1.tar.gz - 进入目录，静态编译 OpenSSL：
./Configure linux-aarch64 no-shared --prefix=/opt/openssl-static && make -j$(nproc) && make install（注意：no-shared是关键） - 验证生成了静态库：
ls /opt/openssl-static/lib/lib{ssl,crypto}.a应存在
Nginx configure 关键参数组合
在 Nginx 源码目录中执行：
export OPENSSL_DIR="/opt/openssl-static" ./configure \ --prefix=/usr/local/nginx \ --with-openssl="$OPENSSL_DIR/../openssl-3.2.1" \ --with-http_ssl_module \ --with-http_v2_module \ --with-cc-opt="-I$OPENSSL_DIR/include" \ --with-ld-opt="-L$OPENSSL_DIR/lib -Wl,-Bstatic -lssl -lcrypto -Wl,-Bdynamic -ldl -lpthread"
说明：
-
--with-openssl=必须指向原始 源码目录（非 install 目录），Nginx 会自动调用其Configure和make流程 -
--with-cc-opt告诉编译器头文件在哪 -
--with-ld-opt中-Wl,-Bstatic开启静态链接段，-lssl -lcrypto强制链接静态版，之后-Wl,-Bdynamic恢复动态链接其他系统库（如dl、pthread）
验证是否成功静态集成
编译安装后运行：
-
/usr/local/nginx/sbin/nginx -V 2>&1 | grep -i openssl—— 应显示你指定的源码路径和 OpenSSL 版本号 -
ldd /usr/local/nginx/sbin/nginx | grep ssl—— 输出应为空（无 libssl.so 依赖） -
file /usr/local/nginx/sbin/nginx—— 若含 “statically linked”，说明整体静态（但通常只需 OpenSSL 静态，其余动态更稳妥）
启动后用 openssl s_client -connect localhost:443 -tls1_3 可确认 TLS 1.3 是否可用，这是 OpenSSL 3.0+ 的标志性能力。
