证书指纹校验不通过本质是客户端比对服务端证书指纹失败，因Nginx未主动校验；根本原因是服务端证书内容变更而客户端仍使用旧硬编码指纹，需核对当前证书指纹、确认Nginx加载正确证书并同步更新客户端指纹配置。
证书指纹校验不通过，本质上不是 Nginx 主动“校验指纹”，而是客户端（如 curl、Java HttpClient、Go net/http 或某些 SDK）在建立 HTTPS 连接时，对服务端返回的证书做指纹比对（例如 SHA-256 指纹），发现与预设值不符，于是中止连接。Nginx 本身不生成或校验证书指纹，它只负责提供证书；问题出在**服务端证书内容实际发生了变化**，但调用方仍硬编码了旧指纹。
确认是否真为指纹校验导致失败
先排除其他更常见的 TLS 层错误：
- 抓包或查看客户端日志，确认报错是否明确含 fingerprint mismatch、certificate pinning failed 或类似关键词；
- 若报错是 unable to get local issuer certificate、self signed certificate 或 NET::ERR_CERT_AUTHORITY_INVALID，则属于证书链或信任问题，不是指纹问题；
- 用
openssl s_client -connect your-domain.com:443 -servername your-domain.com | openssl x509 -fingerprint -noout查看当前 Nginx 实际提供的证书指纹，和客户端代码里硬编码的指纹对比是否一致。
检查 Nginx 是否意外更换了证书文件
指纹变了，说明证书 PEM 内容变了。常见原因：
- 证书自动续期后，
ssl_certificate指向的文件被覆盖或替换（如 Certbot 的 post-hook 脚本未重载 Nginx）； - 误操作修改了证书文件（比如用文本编辑器保存时加了 BOM 或换行符）；
- 配置中使用了符号链接，而链接目标已被更新，但 Nginx 未重新加载；
- 多个 server 块共用同一份证书路径，其中一个块配置错误导致加载了其他证书（如 ssl_certificate 路径写错，Nginx 回退到默认证书）。
确保 Nginx 加载的是预期证书
执行以下步骤验证：
- 运行
nginx -t确认语法无误； - 查配置中
ssl_certificate和ssl_certificate_key的绝对路径，用ls -l看文件修改时间是否与续期时间吻合； - 用
openssl x509 -in /path/to/cert.pem -text -noout | grep "Not After"核对有效期，确认是否为新证书； - 执行
nginx -s reload（非 restart），确保变更生效； - 再用
openssl s_client命令复测指纹，确认输出与客户端期望值一致。
客户端需同步更新硬编码指纹
如果确认是证书正常更新、指纹自然变更，则必须更新调用方代码中的指纹值：
- 不要长期硬编码指纹——建议改用 CA 根证书信任方式（如配置 truststore），或启用证书透明度（CT）日志校验；
- 若必须用指纹，应将指纹值外部化（如配置文件、环境变量），避免每次证书更新都改代码；
- 对于 Android/iOS App，注意系统级证书固定（Certificate Pinning）策略需随服务端证书轮换同步更新，否则上线即失败。
