proxy_ssl_verify_depth必须设为中间CA证书数量，并严格配合proxy_ssl_verify on、proxy_ssl_trusted_certificate、proxy_ssl_name和proxy_ssl_server_name四项指令共同生效，缺一则静默降级。
要让 proxy_ssl_verify_depth 真正限制反向代理阶段证书链校验的深度，它不能单独设置，必须和另外三项验证机制对齐——否则 Nginx 会静默关闭校验，等同于裸连后端。
这个值到底数什么
它统计的是“中间 CA 证书”的数量，不包括终端证书本身，也不包括根 CA（根 CA 必须出现在可信证书文件中，但不计入 depth）。例如：
- 设为 1：只接受终端证书由根 CA 直接签发（无中间 CA）
- 设为 2：支持终端 → 中间 CA → 根 CA（Let’s Encrypt R3、Sectigo 等主流证书结构）
- 设为 3：适配企业私有 PKI 中终端 → 中间 CA1 → 中间 CA2 → 根 CA 的四级链（此时中间 CA 数量为 3）
怎么确定该设成几
别猜，用 OpenSSL 实测后端实际返回的证书链结构：
FastAPI Flask Proxy
下载
FastAPI + Flask 混合部署最佳实践，解决路由定义、API 代理等常见问题，适用于同时运行 FastAPI API 与 Flask 前端的场景。
- 运行
openssl s_client -connect backend.example.com:443 -servername backend.example.com -showcerts 2>/dev/null | grep "BEGIN CERTIFICATE" | wc -l，输出数字是返回的证书总数（含终端 + 所有中间） - 再运行
openssl x509 -in service.crt -text -noout | grep "CA Issuers"，每出现一次有效链接，代表一级中间签发关系 - 最终
proxy_ssl_verify_depth= 中间证书数量（即总数 − 1，不含终端证书；也不含根 CA，但根 CA 必须在 trusted_certificate 文件中）
必须同时配置的四个关键项
缺一不可，否则 depth 设置无效，Nginx 可能降级为不校验或直接报 502：
-
proxy_ssl_verify on;—— 明确启用上游证书校验（默认是 off） -
proxy_ssl_trusted_certificate /path/to/ca-bundle.pem;—— 文件中必须包含所有中间 CA + 根 CA（顺序无关，但不能缺级；不能含私钥或后端终端证书） -
proxy_ssl_name "backend.example.com";—— 显式声明期望的 SNI 主机名，用于匹配证书 SAN 字段；若proxy_pass写的是 IP 或变量，此项必填 -
proxy_ssl_server_name on;—— 启用 TLS SNI 扩展，确保握手时把域名发给后端，避免返回默认证书
设错之后的表现
值太小：合法证书被拒，error.log 出现 certificate verify failed 或 SSL_do_handshake() failed，返回 502；
值太大（如 ≥4）：可能接纳嵌套过深、策略不明的中间签发路径，削弱信任链的可控性与审计性。
生产环境推荐从 2 起步，确认是三级链再调到 3；自签名单层结构可维持 1，但务必确保 trusted_certificate 文件里已包含该自签根。
