本质是中间代理（如cdn、waf、云lb）替换证书，需直连nginx ip+端口并用openssl s_client -servername验证实际发送证书，再逐跳比对指纹定位篡改节点，同时检查sni是否被忽略或强制终止。
这个问题本质是：客户端最终看到的证书，不是你 Nginx 配置里指定的那套，而是被某一层中间代理“悄悄换掉”了。它不报错、不中断连接，但证书 Subject、Issuer、指纹全对不上——常见于 CDN、WAF、云负载均衡（如 ALB、SLB）、或自建多级 Nginx 代理链中。
第一步：确认证书到底是谁发的
别信浏览器地址栏的小锁图标，也别直接 curl 域名——必须绕过所有缓存和中间层干扰，直连最后一跳 Nginx 的 IP + 端口，并强制指定 SNI：
- 查出你最终 Nginx 实例的真实监听 IP（比如 10.0.1.5:443），不是域名，也不是 CDN 的 CNAME
- 运行：openssl s_client -connect 10.0.1.5:443 -servername your-domain.com -showcerts /null
- 看输出里的 subject= 行：第一行是否是你预期的域名证书？第二行是否是 Let’s Encrypt R3 或其他你配置的中间 CA？
- 如果这里就错了，说明问题出在你这台 Nginx 本身（配置/文件/权限）；如果这里是对的，再往下查中间层
第二步：逐跳比对证书指纹，定位篡改点
从客户端发起请求，每经过一层代理，都用 openssl 抓一次它实际发送的证书，并计算 SHA256 指纹：
- 客户端访问域名：openssl s_client -connect your-domain.com:443 -servername your-domain.com -showcerts /null | openssl x509 -noout -fingerprint -sha256
- 直连 CDN/WAF 入口 IP（如有）：同样命令，替换 -connect 地址
- 直连你第一层 Nginx 入口 IP
- 直连你最后一层 Nginx IP（即上一步验证过的那个）
- 把每条命令输出的 Fingerprint= 值列出来对比——指纹第一次变化的位置，就是证书被替换的节点
第三步：检查中间节点是否强制注入自己的证书
很多中间层（尤其是免费 CDN、SaaS WAF、云 LB）默认启用“HTTPS 终止 + 重加密”，它们会用自己的证书响应客户端，再用另一套证书去连你的后端。这不是 bug，是设计行为：
- Cloudflare：若启用了 Full (strict) 模式，它会用自己的证书对外，同时要求你后端提供有效证书供它校验；若为 Flexible，它甚至可能用 HTTP 连你后端
- AWS ALB / Azure Front Door：查看监听器协议配置，确认是否设为 TLS passthrough（即透传，不终止）；若为 HTTPS termination，它必然用自己的证书
- 自建 Nginx 作前置网关：检查是否有 ssl_certificate 指令被意外写死，或通过 include 加载了别的 conf 文件覆盖了你的配置
第四步：验证 SNI 是否被中间层劫持或忽略
有些中间设备会忽略客户端发来的 SNI，统一返回默认证书（比如通配符 *.example.com 或默认站点证书）：
- 用 openssl s_client -connect your-domain.com:443 -noservername -showcerts /null 测试无 SNI 时返回什么证书
- 再用 openssl s_client -connect your-domain.com:443 -servername wrong-domain.com -showcerts /null 测试错 SNI 是否返回相同证书
- 如果两次结果一致，说明中间层没做 SNI 路由，只是在“硬塞”一张证书
- 此时需登录对应平台控制台，确认是否启用了基于 SNI 的证书路由，或是否绑定了正确的证书到该域名
