Nginx 如何排查 Nginx 配置国密双证书时国际浏览器无法识别的兼容性故障

国际浏览器无法识别国密双证书，本质不是Nginx配置错误，而是信任链与协议支持的天然断层：Chrome、Firefox、Safari默认不内置国密根CA，也不协商国密密码套件，因此根本不会尝试SM2证书，仅走RSA路径；排查重点应是RSA路径是否中断，而非SM2未被选用。

国际浏览器无法识别国密双证书，本质不是Nginx配置错误，而是信任链与协议支持的天然断层。Chrome、Firefox、Safari等默认不内置国密根CA，也不协商国密密码套件（如TLS_ECDHE_SM2_WITH_SM4_SM3），所以它们根本不会尝试使用SM2证书——Nginx即使配了SM2证书，这些浏览器也视而不见，直接走RSA路径。真正要排查的，是“为什么该走RSA时却失败了”，而不是“为什么没走SM2”。

确认客户端实际协商的是RSA路径

打开Chrome开发者工具 → Security标签页 → 点击“View certificate”，查看当前连接使用的证书是否为RSA证书（Subject中含RSA签名算法，Issuer为DigiCert/Sectigo/CFCA国际根或中级CA）。若显示SM2证书且提示“不受信任”，说明客户端误选了国密路径，需检查TLS版本和密码套件设置；若显示空白或报错，则RSA路径已中断，问题出在RSA证书链或Nginx基础SSL配置。

验证RSA证书链完整性与格式

1. 用openssl s_client -connect yourdomain.com:443 -servername yourdomain.com直连测试，观察返回的证书链是否完整输出（包含域名证书+中间CA+根CA）
2. 确保ssl_certificate指向合并后的PEM文件（域名证书在前，中间证书在后，根证书通常无需包含）
3. 避免混用DER与PEM：RSA证书必须为PEM格式，不可直接使用.crt或.cer二进制文件
4. 检查私钥是否匹配：openssl x509 -noout -modulus -in rsa_cert.pem | openssl md5 与 openssl rsa -noout -modulus -in rsa_key.key | openssl md5 输出应一致

检查Nginx是否意外禁用了RSA兼容套件

国密版Nginx（如基于Tongsuo或沃通模块编译）常默认启用国密套件并关闭部分传统套件。需显式保留国际兼容密码：

1. 在server块中添加：ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;
2. 禁用ssl_prefer_server_ciphers off;（默认即off），允许客户端优先选择其支持的最强套件
3. 避免使用ssl_protocols TLSv1.3;单写——TLS 1.3移除了RSA密钥交换，必须搭配ECDHE；若客户端老旧（如Windows 7 + IE11），需保留TLSv1.2

排除SNI与证书绑定逻辑干扰

Nginx 1.24+支持多证书SNI自动匹配，但前提是所有证书都绑定在同一listen指令下：

1. 确认配置中仅有一个listen 443 ssl http2;，而非分别监听443和某个国密专用端口
2. SM2与RSA证书必须共用同一server_name，不能通过不同server块分离
3. 若使用旧版Nginx（