Njs 实现动态 SSL 证书热更新，通过 ssl_certificate_by_njs_file 钩子在 TLS 握手时按 SNI 动态加载证书，无需 reload；要求 njs ≥0.7.10、启用 ngx_http_njs_module 和 SSL 模块，配合 readFile 与 sslCertificate API 实现内存级重载。
用 Njs 实现动态在线 SSL 证书热更新，核心是绕过传统 nginx -s reload 的进程重启环节，让 worker 进程在不中断连接、不丢请求的前提下，实时加载新证书。这依赖 Nginx 官方模块 njs（非第三方 Lua）提供的 SSL 生命周期钩子能力，配合证书文件变更监听与内存级证书重载。
确认环境与启用 njs SSL 支持
Njs 必须是 0.7.10+ 版本，且 Nginx 编译时需开启 --with-http_ssl_module 和 --with-njs。检查是否就绪：
- 运行
nginx -V 2>&1 | grep -o with-njs，有输出即支持 - 确认配置中已加载模块：
load_module modules/ngx_http_njs_module.so; -
关键前提：Nginx 需启用
ssl_certificate_by_lua_block替代方式（njs 中对应为ssl_certificate指令），该指令仅在 TLS 握手阶段被调用，天然支持 per-SNI 动态加载
编写 njs 脚本实现证书按需加载
将以下脚本保存为 /etc/nginx/njs/ssl_loader.js（注意权限：nginx worker 用户可读）：
function loadCertForHost(r) {
const host = r.variables.server_name;
const base = '/etc/nginx/ssl_certs/';
const certPath = base + host + '/fullchain.pem';
const keyPath = base + host + '/privkey.pem';
<pre class="brush:php;toolbar:false;">try {
const cert = r.readFile(certPath);
const key = r.readFile(keyPath);
if (cert && key) {
r.sslCertificate(cert, key); // 直接注入 PEM 字符串，无需解析
return;
}
} catch (e) {
r.log('WARN: no cert for ' + host);
}
// fallback：返回默认证书（需提前准备好）
const defaultCert = r.readFile('/etc/nginx/ssl/default/fullchain.pem');
const defaultKey = r.readFile('/etc/nginx/ssl/default/privkey.pem');
if (defaultCert && defaultKey) {
r.sslCertificate(defaultCert, defaultKey);
}}
export default { loadCertForHost };
说明：r.readFile() 是 njs 提供的同步文件读取（仅限小文件，证书符合要求），r.sslCertificate() 是 0.7.9+ 引入的专用 API，替代旧版 ngx.ssl.* 系列函数。
在 server 块中启用动态证书逻辑
修改你的 HTTPS server 配置，移除 ssl_certificate 和 ssl_certificate_key 指令，改用 njs 钩子：
server {
listen 443 ssl;
server_name example.com api.example.net;
<pre class="brush:php;toolbar:false;">ssl_certificate_by_njs_file /etc/nginx/njs/ssl_loader.js:loadCertForHost;
# 其他 SSL 配置保持不变（协议、密钥交换等）
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:...;
ssl_prefer_server_ciphers off;
# 后续 location 等照常}
注意：ssl_certificate_by_njs_file 指令必须出现在 server 级别，且每个 server 块只能定义一次；它只在 TLS ClientHello 后、ServerHello 前执行，完全不影响已建立连接。
证书更新后无需 reload，自动生效
当新证书写入对应域名目录（如 /etc/nginx/ssl_certs/example.com/fullchain.pem）后，下一次该域名的新 TLS 握手就会加载新证书。旧连接继续使用原证书，无感知切换。
- 更新操作示例（原子替换，避免读到中间状态）：
cp new.crt /tmp/tmp.crt && mv /tmp/tmp.crt /etc/nginx/ssl_certs/example.com/fullchain.pem - 验证是否生效：用
openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -dates查看有效期 - 日志中可通过
error_log /var/log/nginx/error.log info;开启 info 级别，看到ssl_certificate_by_njs_file的调用记录
整个过程零 reload、零连接中断、零请求失败，真正实现证书层的“热更新”。
