Nginx启用HTTPS需同时满足两个核心条件：一是编译时已包含--with-http_ssl_module模块（通过nginx -V确认），二是在server块中正确配置listen 443 ssl、ssl_certificate和ssl_certificate_key绝对路径；缺一则nginx -t报错或运行时失败。
Nginx 要启用 HTTPS，核心就两件事：确保 http_ssl_module 已编译进二进制，且配置里正确加载证书和私钥。缺一不可，否则 nginx -t 会直接报错或访问时 400/500。
检查 nginx 是否支持 SSL 模块
很多人改完配置却启动失败，第一反应是证书路径错了，其实更可能是模块压根没装上。
- 运行
nginx -V（注意大写 V），看输出中是否包含--with-http_ssl_module - 如果没有，
nginx -t会提示unknown directive "ssl_certificate"或类似错误 - 不能靠
nginx -v（小写 v）判断——它只显示版本号，不显示编译参数 - 重装模块必须进原始源码目录执行
./configure --with-http_ssl_module+make，再手动替换objs/nginx到sbin/下；make install会覆盖整个安装目录，风险高
server 块里 listen 443 ssl 必须带 ssl 关键字
这是最常被漏掉的语法点。只写 listen 443 不够，必须显式加 ssl，否则 Nginx 不会启用 TLS 握手流程。
- 正确写法：
listen 443 ssl;（结尾分号不能少） - 错误写法：
listen 443;或listen 443; ssl on;（Nginx 1.15+ 已废弃ssl on） -
ssl_certificate和ssl_certificate_key的路径必须是绝对路径，相对路径（如conf/ssl/xxx.crt）在某些工作目录下会失效 - 如果用了中间证书（比如 Let’s Encrypt 的 chain），要合并到证书文件里，或用
ssl_trusted_certificate单独指定
HTTP 自动跳转 HTTPS 的 return 301 写法
用 rewrite 实现跳转容易出错，推荐用更明确、更安全的 return 指令。
- 推荐写法：
return 301 https://$host$request_uri; - 避免写
rewrite ^(.*)$ https://$server_name$1 permanent;——$server_name是静态配置值，不反映实际 Host 头，多域名时会跳错 - 如果
server_name配了多个域名（如example.com www.example.com），$host能保持原始请求的 Host，更可靠 - 跳转 server 块必须监听
80端口，且不能和 HTTPS 的server块混在一起（Nginx 不允许同一端口重复 listen）
证书文件权限和 SELinux 干扰
即使配置全对，也可能因系统级限制导致 Nginx 读不到证书，表现为 worker 进程启动失败或日志里出现 Permission denied。
- 私钥文件（
.key）权限必须是600或400，Nginx 主进程以 root 启动，但 worker 进程会降权为普通用户（如www-data或nginx），若用户无读权限就打不开 - 在 CentOS/RHEL 上，SELinux 默认禁止 Nginx 访问非标准路径下的文件。若证书放在
/home或/root下，需运行：chcon -t cert_t /path/to/your.key - 用
nginx -t检查语法后，务必看 error log（默认logs/error.log），很多“配置成功”只是语法通过，真正加载失败藏在 error log 里
最容易被忽略的是：证书链不完整、私钥密码未去除、SELinux 上下文缺失这三类问题，它们不会让 nginx -t 报错，但会导致 HTTPS 请求直接断连或返回空响应。动手前先确认证书能被 Nginx 进程真实读取，比反复调配置更省时间。
