验证Nginx证书链有效性需三步：一用openssl s_client看实际发送证书段数及顺序，仅1段为链缺失；二检查ssl_certificate文件是否含域名证+中间证、无空行/根证/私钥；三用openssl verify -CAfile验证整链是否可回溯至系统信任根。
测试生产环境中 Nginx 的证书链有效性，不能只看浏览器地址栏有没有“小锁”，关键是要验证：Nginx 实际发给客户端的证书内容是否完整、顺序是否正确、能否被主流系统信任。三步实操即可准确定位问题。
一、用 openssl s_client 直连验证真实发送链
在 Nginx 服务器本机执行（替换为你的域名）：
openssl s_client -connect your-domain.com:443 -servername your-domain.com -showcerts 2>/dev/null
重点看输出中 -----BEGIN CERTIFICATE----- 出现几次：
- 只出现 1 次 → 仅发了域名证书，中间证书缺失，安卓/iOS/小程序会直接拒绝连接
- 出现 2 次 → 第一段是你的域名证书，第二段应是中间 CA（如 Let’s Encrypt R3），基本合格
- 出现 3 次且第三段是根证书 → 错误！Nginx 不该发送根证书，需清理 ssl_certificate 文件
再加一行快速核对签发关系：
openssl s_client -connect your-domain.com:443 -showcerts 2>/dev/null | grep "subject\|issuer"
第一段 subject 应含你的域名；第二段 issuer 应与第一段 subject 完全一致（说明中间证书确实签发了你这张证书）。
二、检查 ssl_certificate 文件内容是否合规
Nginx 只原样发送你配置的 ssl_certificate 指向的 PEM 文件，它不会自动补全、也不会跳过错误格式。打开该文件人工确认：
- 第一段必须是以 -----BEGIN CERTIFICATE----- 开头、含 CN=your-domain.com 的域名证书
- 紧接着必须是一段中间证书（如 R3 或 G2），同样以 BEGIN/END CERTIFICATE 包裹
- 两段之间不能有空行，不能混入私钥、根证书、注释或非 PEM 内容
- 不能用 .p7b/.cer/.pfx 等非 PEM 格式，也不要用系统 ca-bundle.crt 替代 fullchain
三、用系统信任库验证整条链是否可信
即使链完整，若中间 CA 不被操作系统信任，仍会失败。运行：
openssl verify -CAfile /etc/ssl/certs/ca-certificates.crt /path/to/your/fullchain.pem
返回 OK 才表示整条链能回溯到系统默认信任根；若报 unable to get issuer certificate，说明：
- 中间证书没放对，或顺序颠倒
- 系统 ca-certificates.crt 未更新（尤其自建 CA 或新中间 CA）
- fullchain.pem 中漏了某一级中间证书
注意：此命令中的 /path/to/your/fullchain.pem 必须是你实际配置给 ssl_certificate 的那个文件，不是单独的 cert.pem。
四、辅助验证：有效期与密钥匹配性（不重启也能查）
证书过期或证书/私钥不匹配，也会导致握手失败，但 nginx -t 不报错：
- 查有效期：openssl x509 -in /etc/nginx/ssl/server.crt -noout -dates，关注 notAfter
- 验密钥匹配：openssl x509 -noout -modulus -in cert.crt | openssl md5 和 openssl rsa -noout -modulus -in cert.key | openssl md5，两个 MD5 必须完全一致
这些操作都不需要重启 Nginx，结果即时反映线上真实状态。
