Nginx配置静态资源HTTPS访问本质是为域名启用SSL/TLS加密，关键四步：确认编译ssl模块、证书放对路径并设600权限、server块中listen 443 ssl且正确指定证书路径、另配80端口301跳转HTTPS。
确认 Nginx 已编译 SSL 模块
这是前提，缺了它，配置直接报错（比如 unknown directive "ssl_certificate"）。
- 运行
nginx -V 2>&1 | grep -i ssl，检查输出是否含--with-http_ssl_module - 若没有，需回到源码目录重新编译：
./configure --with-http_ssl_module && make，再用objs/nginx替换原二进制文件 - 注意：不要执行
make install，避免覆盖现有配置和路径
把证书放对位置并设好权限
证书路径必须绝对、私钥必须严格保护，否则 Nginx worker 进程读不到。
- 推荐存放路径：
/etc/nginx/ssl/your_domain.crt和/etc/nginx/ssl/your_domain.key - 设置私钥权限：
sudo chmod 600 /etc/nginx/ssl/*.key - 确保属主为 Nginx 运行用户（如
nginx或www-data）：sudo chown nginx:nginx /etc/nginx/ssl/*.key - 如果用了 Let’s Encrypt 的 fullchain.pem，就把
fullchain.pem当作ssl_certificate，privkey.pem当作ssl_certificate_key
写对 HTTPS 的 server 块（重点！）
这是最常出错的地方：漏掉 ssl 关键字、路径写错、没加协议限制。
-
listen 443 ssl;—— 必须带 ssl，不能只写listen 443; -
ssl_certificate和ssl_certificate_key后跟绝对路径，例如：/etc/nginx/ssl/example.com.crt - 建议启用现代协议和强加密：
ssl_protocols TLSv1.2 TLSv1.3;，ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:等 - 静态资源通常放在
root目录下，比如：root /var/www/html;，所有子路径（/css/style.css、/img/logo.png）自动走 HTTPS
强制 HTTP 跳转 HTTPS
避免用户手动输 http://，也防止混合内容（HTTP 资源被 HTTPS 页面拦截）。
- 单独建一个监听 80 端口的 server 块：
server { listen 80; server_name example.com www.example.com; return 301 https://$host$request_uri; }- 别用
rewrite，return 301更安全、更清晰；$host保留原始域名，多域名场景不跳错 - 配置完务必执行：
nginx -t测试语法，再nginx -s reload生效
