“SSL certificate key file not found”并非文件物理缺失，而是Nginx读取或解析私钥失败；需逐项验证路径一致性、私钥未加密/权限合规/PEM格式正确、证书与私钥模数MD5完全匹配，并通过error.log定位真实错误（如Permission denied、no start line等）。
报错“SSL certificate key file not found”并不表示文件物理上不存在，而是 Nginx 在尝试打开、读取或解析私钥时失败了。排查重点不是“有没有”，而是“能不能用”。
确认私钥文件真实存在且路径完全匹配
配置中写的路径必须和服务器上实际路径一字不差：
- 进服务器或容器执行 ls -l /etc/nginx/ssl/yourdomain.key（把路径替换成你配置里 ssl_certificate_key 的值），看文件是否存在、名字是否拼写正确（注意大小写、.key/.pem 后缀）
- 检查是否用了软链接：运行 ls -l /etc/nginx/ssl/yourdomain.key，若显示 →，说明是符号链接，需继续 ls -l 目标路径，确保最终指向的文件也存在
- Docker 环境要核对三处：宿主机证书路径、-v 挂载参数、容器内配置路径——常见错误是挂载目录没包含文件，比如只挂了 /opt/certs/，但配置却写了 /etc/nginx/ssl/domain.key
验证私钥可读、未加密、格式干净
Nginx 拒绝加载带密码的私钥、权限过宽的文件，或含 BOM/乱码的文本：
- 运行 openssl rsa -check -in /etc/nginx/ssl/yourdomain.key：若提示输入 pass phrase，说明私钥被加密，需解密：openssl rsa -in yourdomain.key -out yourdomain_decrypted.key
- 运行 file /etc/nginx/ssl/yourdomain.key：输出应为 ASCII text；若显示 UTF-8 Unicode (with BOM) text 或 data，说明有 BOM 或二进制污染，用 dos2unix yourdomain.key 或手动删掉开头的 EF BB BF 字节
- 用 head -n 1 /etc/nginx/ssl/yourdomain.key 确认开头是 -----BEGIN RSA PRIVATE KEY----- 或 -----BEGIN PRIVATE KEY-----，不能是 PKCS#12（.pfx/.p12）、DER 编码或其他非 PEM 格式
检查证书与私钥是否真正配对
即使文件都存在、路径都对、格式都合规，模数（modulus）不一致也会导致 Nginx 报“not found”：
- 提取证书模数哈希：openssl x509 -noout -modulus -in fullchain.pem | openssl md5
- 提取私钥模数哈希：openssl rsa -noout -modulus -in privkey.key | openssl md5（PKCS#8 格式则用 openssl pkey -noout -modulus -in privkey.key | openssl md5）
- 两行输出的 MD5 值必须逐字相同；不同=密钥对失效，需换回原始私钥或重新申请证书
查看真实错误日志定位根因
“not found”只是表象，真实原因藏在 error.log 里：
- 先运行 nginx -t，它会检查语法和路径是否存在，但不校验内容
- 再查真实报错：tail -n 20 /var/log/nginx/error.log（或 docker logs --tail 20 ），重点找含 fopen()、Permission denied、no start line、bad magic number 的行
- 若看到 Permission denied，说明 Nginx 工作进程用户（如 www-data、nginx）无权读取该文件，需运行 chown root:www-data /etc/nginx/ssl/*.key && chmod 640 /etc/nginx/ssl/*.key
