可以使用Shell脚本结合OpenSSL提取Nginx配置中SSL证书到期时间并自动告警：先通过grep定位ssl_certificate指令指向的PEM文件路径，再用openssl x509解析有效期，转为时间戳计算剩余天数，最后设置cron每日检查并在30天内过期时触发警告。
可以直接用 Shell 脚本结合 OpenSSL 提取 Nginx 配置中 SSL 证书的到期时间，并自动判断是否临近过期。关键在于准确定位证书文件路径，再解析其有效期。
定位 Nginx 使用的证书文件
Nginx 本身不直接存储证书信息，需从配置文件中提取 ssl_certificate 指令指向的 PEM 文件路径。常用方法是：
- 查找主配置（如
/etc/nginx/nginx.conf）及所有被 include 的子配置（如/etc/nginx/sites-enabled/*） - 用
grep -r "ssl_certificate" /etc/nginx/快速列出所有证书路径 - 注意：路径可能是相对路径（如
ssl_certificate cert.pem;），需结合nginx -t输出的 root 或配置所在目录拼出绝对路径
用 OpenSSL 提取证书到期时间
拿到证书文件后，执行以下命令即可获取到期时间（UTC）：
openssl x509 -in /path/to/cert.pem -enddate -noout | cut -d' ' -f4-
更实用的是直接转为 Unix 时间戳，便于计算剩余天数：
openssl x509 -in /path/to/cert.pem -enddate -noout | awk '{print $4,$5,$6,$7,$8}' | xargs -I{} date -d "{}" +%s 2>/dev/null编写检测脚本并设置告警
一个轻量级检测脚本示例（保存为 check-nginx-cert.sh）：
#!/bin/bash
CERT_PATH=$(grep -h "ssl_certificate" /etc/nginx/**/*.conf 2>/dev/null | head -n1 | awk '{print $2}' | sed 's/;//')
if [[ -z "$CERT_PATH" ]]; then
echo "未找到 ssl_certificate 配置"
exit 1
fi
# 处理相对路径（假设配置在 /etc/nginx/ 下）
[[ "$CERT_PATH" != /* ]] && CERT_PATH="/etc/nginx/$CERT_PATH"
if [[ ! -f "$CERT_PATH" ]]; then
echo "证书文件不存在：$CERT_PATH"
exit 1
fi
EXPIRE_SEC=$(openssl x509 -in "$CERT_PATH" -enddate -noout | awk '{print $4,$5,$6,$7,$8}' | xargs -I{} date -d "{}" +%s 2>/dev/null)
if [[ -z "$EXPIRE_SEC" ]]; then
echo "无法解析证书有效期"
exit 1
fi
NOW_SEC=$(date +%s)
DAYS_LEFT=$(( (EXPIRE_SEC - NOW_SEC) / 86400 ))
echo "证书剩余有效期：${DAYS_LEFT} 天"
if [[ $DAYS_LEFT -le 30 ]]; then
echo "⚠️ 警告：证书将在 ${DAYS_LEFT} 天后过期！"
# 可在此添加邮件、钉钉或企业微信通知逻辑
fi加入定时任务自动运行
将脚本设为每日检查，例如添加到 crontab：
0 3 * * * /bin/bash /usr/local/bin/check-nginx-cert.sh >> /var/log/nginx-cert-check.log 2>&1
建议搭配日志轮转，避免日志无限增长；生产环境可进一步集成到监控系统（如 Prometheus + Alertmanager），实现可视化与分级告警。
