核心是TLS握手阶段的密码套件协商机制，而非User-Agent判断；必须用Tongsuo或GMSSL替换OpenSSL并重编Nginx，配置ssl_protocols TLSv1.2 TLSv1.3、ssl_ciphers国密套件置前、ssl_prefer_server_ciphers on，并加载合规SM2签名证书。
要在 Nginx 中实现国密浏览器的自动识别与国密算法优先分发，核心不是靠 User-Agent 判断，而是依赖 TLS 握手阶段的密码套件协商机制——客户端在 ClientHello 中携带支持的 cipher list，服务端据此选择最优匹配。Nginx 本身不解析浏览器类型，它通过底层国密 OpenSSL（如 Tongsuo 或 GMSSL）完成自动协商，无需额外脚本或 Lua 检测。
必须使用国密增强版 OpenSSL 替代库
原生 OpenSSL 和标准 Nginx 完全不识别 SM2/SM3/SM4。只有替换为 Tongsuo（推荐，TLS 1.3 国密稳定）或 GMSSL，并重新编译 Nginx，才能让 ssl_ciphers 中的国密套件生效：
- 编译时指定 --with-openssl=/usr/local/tongsuo，确保 nginx -V 输出路径正确
- 验证命令：tongsuo version 应显示含 TLS_SM4_SM3、ECDHE-SM4-SM3 的套件列表
- openssl ecparam -list_curves | grep sm2 有输出，说明 SM2 曲线已启用
单 virtual host 内配置国密优先协商
无需多端口、多 server 块或 UA 判断逻辑。只需在同一个 HTTPS server 块中启用协议与套件的智能排序：
- ssl_protocols TLSv1.2 TLSv1.3 —— 兼容主流国密客户端（TLCP 在 TLS 1.2/1.3 上已标准化），不建议启用 TLSv1.1（仅用于旧 TLCP）
- ssl_ciphers "TLS_SM4_SM3:ECDHE-SM4-SM3:SM4-SM3:ECDHE-ECDSA-AES128-GCM-SHA256:AES128-GCM-SHA256" —— 国密套件置前，国际套件靠后，由客户端能力自动回退
- ssl_prefer_server_ciphers on —— 确保服务端主导选择，避免客户端低优先级套件干扰协商结果
证书只需签名证书，但格式必须合规
国密握手由证书公钥类型驱动，不是靠“双证书加载”触发识别：
- ssl_certificate 指向 SM2 签名证书（PEM 格式），其 SubjectPublicKeyInfo 必须含 SM2 公钥
- ssl_certificate_key 指向对应 SM2 私钥（不可用 RSA 或 ECC 私钥混用）
- 若 CA 支持双签发（如 CFCA 国密版），一份证书可同时含 SM2 签名 + RSA/SHA256 备份签名，但 Nginx 仍只加载一个 PEM 文件
验证是否生效的关键方式
不要依赖浏览器地址栏锁图标，而应从协议层确认协商结果：
- 用国密客户端测试：openssl s_client -connect yourdomain.com:443 -cipher TLS_SM4_SM3 -tls1_2，成功返回且 ServerHello 中 cipher 为 TLS_SM4_SM3 即表示命中
- 用 Chrome 测试：openssl s_client -connect yourdomain.com:443 -cipher AES128-GCM-SHA256，应协商成功并返回对应套件
- 查看 Nginx error.log：成功协商国密时会出现 "SSL_do_handshake() failed (SSL: ... TLS_SM4_SM3)" 类日志（注意是 info 级别，非 error）
