ssl_trusted_certificate是Nginx中仅用于OCSP stapling验证的根及中间证书文件，不参与TLS握手；证书链完整性完全取决于ssl_certificate文件内容。
ssl_trusted_certificate 是什么，为什么它不能替代 ssl_certificate
ssl_trusted_certificate 是 Nginx 的一个配置项，用于指定**客户端信任的根证书和中间证书集合**，仅在启用 OCSP stapling（ssl_stapling on）时被读取，用来验证 OCSP 响应签名。它不参与 TLS 握手时发送的证书链——这个任务完全由 ssl_certificate 文件承担。
常见误解是把 ssl_trusted_certificate 当作“补全证书链”的手段，结果改完配置后移动端依然报 NET::ERR_CERT_AUTHORITY_INVALID。根本原因：安卓 WebView、微信内置浏览器等只看服务器在 TLS Certificate 消息里发了哪些证书，而这个消息内容完全取决于 ssl_certificate 文件内容，跟 ssl_trusted_certificate 无关。
-
ssl_certificate→ 必须含域名证书 + 所有中间证书（顺序：域名证书在前，中间证书紧随其后） -
ssl_trusted_certificate→ 只用于 OCSP 验证，可选；若设置，应只含根证书和中间证书（不含域名证书） - 两者文件内容不能混用，也不能互相替换路径
移动端报错时，真正该检查和修改的是 ssl_certificate 文件
安卓系统不会自动下载缺失的中间证书，必须由服务器在 TLS 握手阶段一并发送。只要 ssl_certificate 指向的文件里只有一段 -----BEGIN CERTIFICATE-----（即只有域名证书），就必然触发移动端证书链不完整错误。
确认和修复步骤：
- 用
grep -c "BEGIN CERTIFICATE" /path/to/your/cert.pem查看证书文件包含几段证书；至少要返回 2 - 如果只有 1 段，需手动合并：把中间证书（通常来自 CA 提供的
ca-bundle.crt或intermediate.pem）追加到域名证书下方，两段之间**空一行** - 确保合并后文件仍以
-----BEGIN CERTIFICATE-----开头，以-----END CERTIFICATE-----结尾，无多余空格或隐藏字符 - 在 Nginx 配置中确认
ssl_certificate指向的是这个合并后的文件，不是原始cert.pem - 执行
nginx -t && nginx -s reload生效，不要只点宝塔里的“重启”而不校验配置语法
什么时候才需要配置 ssl_trusted_certificate
只有当你明确启用了 OCSP stapling（即配置了 ssl_stapling on 和 ssl_stapling_verify on）时，Nginx 才会用到 ssl_trusted_certificate。此时它必须包含能验证 OCSP 响应签名的证书，通常是 CA 提供的完整中间证书链（不含你的域名证书）。
- 路径建议单独存放，例如
/www/ssl/trusted-ca-bundle.pem，避免和ssl_certificate文件混淆 - 内容只需中间证书 + 根证书（按颁发顺序，根在最后），不要包含你的域名证书
- 若未启用
ssl_stapling，设了ssl_trusted_certificate也无效，且可能因路径错误引发nginx -t失败 - 宝塔面板默认不开启 OCSP stapling，所以多数用户根本不需要配这项
验证是否真修复了，别信浏览器桌面端
Chrome、Safari 桌面版对证书链容忍度高，常显示“安全”但实际链不全；移动端才是真实验环境。
- 用安卓手机访问，打开 Chrome 并在地址栏点锁图标 → “连接是私密的” → “证书有效” → 查看“证书路径”，确认有 2–3 级（域名 → 中间 → 根）
- 用
openssl s_client -connect example.com:443 -showcerts输出，看是否打印出多个Certificate chain条目 - 在线工具如 SSL Labs 或 MySSL，重点看 “Chain issues” 是否为 “None”
- 微信内打开页面，观察是否仍有白屏或提示“网页可能暂时无法访问”
证书链顺序、换行符、文件编码这些细节，在桌面端看不出问题，却足以让安卓 WebView 拒绝建立连接。动手前先看清楚你改的是哪个文件、哪一行配置。
