安卓HTTPS访问失败的五大原因及解决：一、校准系统时间；二、补全服务器证书链；三、WebView启用混合内容支持；四、开发中重写WebViewClient处理SSL错误（禁用于上架）；五、清除Chrome或WebView缓存数据。
安卓手机访问网站时出现“证书无效”或“连接不安全”提示，常见原因之一是 Nginx 配置中 SSL 证书链顺序错误——特别是中间证书（Intermediate CA）未正确拼接或位置颠倒。安卓系统对证书链验证较严格，要求服务器必须按 域名证书 → 中间证书 → 根证书（可选） 的顺序发送，且不能包含根证书。
确认证书链顺序是否正确
用 OpenSSL 检查服务器实际返回的证书链：
openssl s_client -connect your-domain.com:443 -showcerts观察输出中 CERTIFICATE BEGIN/END 块的顺序。第一块应为你的域名证书（Subject 应含你的域名），第二块为中间证书（Issuer 不是自签名，Subject 与下一块的 Issuer 匹配）。若顺序反了、缺中间证书、或混入了根证书，安卓就可能拒绝信任。
正确拼接 fullchain.pem 文件
Nginx 的 ssl_certificate 指令应指向一个包含完整有序证书链的文件（通常叫 fullchain.pem），而非仅域名证书（cert.pem）。拼接规则如下：
- 第一行：你的域名证书（
cert.pem） - 第二行起：所有中间证书（按签发关系从下到上，即“你 → 中间CA1 → 中间CA2”）
- 不要包含根证书（Root CA）——它已预装在安卓系统中，加入反而干扰验证
示例拼接命令：
检查 Nginx 配置与权限
确保配置中明确使用拼接后的链文件：
ssl_certificate /path/to/fullchain.pem;ssl_certificate_key /path/to/privkey.pem;
注意：ssl_certificate 必须是 证书链文件，不是单独的 cert.pem；私钥仍用原始 privkey.pem。同时确认文件权限合理（如 644），Nginx 主进程能读取，且 SELinux 或 AppArmor 未拦截（常见于 CentOS/RHEL）。
验证并清理缓存
重启 Nginx 后，用以下方式验证：
- 再次运行
openssl s_client...确认顺序正确 - 用安卓手机浏览器（Chrome/Firefox）访问，或使用在线工具如 SSL Labs 检查“Chain issues”项是否为 “OK”
- 清除手机浏览器缓存或换无痕窗口测试——旧的失败握手可能被缓存
部分老旧安卓版本（如 4.x、5.x）对 SNI 或 ECDSA 支持弱，若问题依旧，可考虑兼容性更强的证书类型（RSA + SHA256）或启用 ssl_trusted_certificate（仅用于 OCSP stapling，非必需）。
