配置 proxy_ssl_trusted_certificate 实现后端证书校验，核心是提供结构正确、内容纯净、顺序合规的CA证书集合（仅含根/中间CA，无私钥或终端证书），并必须与 proxy_ssl_verify on、proxy_ssl_name、proxy_ssl_server_name on 四项指令共存于同一 location 块；生产环境建议补充 proxy_ssl_verify_depth 3、proxy_ssl_session_reuse off 和 proxy_ssl_protocols TLSv1.2 TLSv1.3。
配置 proxy_ssl_trusted_certificate 补全后端校验的证书信任链，核心不是“填对路径”，而是提供一份**结构正确、内容纯净、顺序合规的 CA 证书集合**，并确保 Nginx 在每次连接时都真实执行完整校验。它本身不触发验证，必须与其他指令协同生效。
信任证书文件必须只含 CA，且顺序严格
该指令指向的 PEM 文件是整个校验的信任起点，只允许包含根 CA 和/或中间 CA 证书（公钥），严禁混入以下内容：
- 后端服务自己的终端证书（如
backend.crt或fullchain.pem） - 任何私钥（
-----BEGIN PRIVATE KEY-----等） - CSR、注释、空行、Windows 回车符（
\r\n）或多余空格
拼接顺序必须是“自顶向下”：根证书在最前，中间证书依次跟在后面。例如：
-----BEGIN CERTIFICATE----- （根 CA 内容） -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- （中间 CA 内容） -----END CERTIFICATE-----
验证是否合规：运行 openssl pkcs7 -print_certs -in /path/to/trusted_ca.pem -noout，能正常输出证书信息即为合法。
四条指令必须同时出现在同一个 location 块中
proxy_ssl_trusted_certificate 单独存在完全无效。以下四项缺一不可，且必须共存于同一 location（或 upstream）上下文中：
-
proxy_ssl_verify on;—— 明确开启上游证书校验（默认是off） -
proxy_ssl_trusted_certificate /etc/nginx/ssl/upstream-ca.crt;—— 指向你准备好的 CA 证书文件 -
proxy_ssl_name "api.internal.example";—— 显式声明期望的后端域名，用于匹配证书中的 SAN；若proxy_pass使用 IP 或变量（如https://$host），此项不可省略 -
proxy_ssl_server_name on;—— 启用 SNI，确保 TLS 握手时发送正确域名，对接云服务、泛域名或 mTLS 后端时必需
增强鲁棒性的关键补充项
生产环境中建议追加以下配置，避免因链深度不足、协议降级或 session 复用导致校验失效：
-
proxy_ssl_verify_depth 3;—— 默认只验 1 层（终端 → 根），但多数三方服务返回终端 + 中间证书，设为 2 或 3 更稳妥 -
proxy_ssl_session_reuse off;—— 关闭 TLS session 复用，防止缓存异常证书状态影响后续校验 -
proxy_ssl_protocols TLSv1.2 TLSv1.3;—— 禁用 TLSv1.0/1.1，杜绝协议降级干扰校验逻辑
自签名或私有 CA 的特殊处理
若后端使用自签证书或企业私有 CA：
- 把你的私有根证书（
ca.crt）或完整中间链（intermediate.crt+ca.crt）内容直接追加进信任文件 - 确保该文件权限为
644，且 Nginx worker 进程用户（如www-data）可读 - 不要依赖系统默认 CA 包（如
/etc/ssl/certs/ca-certificates.crt），除非你已将私有 CA 显式注入其中
