CDN节点缓存旧版证书链是常见但易忽略的根源，会导致Nginx配置正确、SSL Labs测试通过，用户却在安卓/iOS中持续报“证书不受信任”；需直连源站与CDN域名分别用openssl验证subject行数及中间CA名称对比确认，并在CDN控制台检查部署状态、自动补全设置及强制透传选项，最后重新上传fullchain.pem触发全局证书刷新。
CDN节点缓存旧版证书链是常见但容易被忽略的根源——它会让 Nginx 本身配置正确、SSL Labs 测试通过，用户却在安卓、iOS 或某些浏览器中持续看到“证书不受信任”“NET::ERR_CERT_AUTHORITY_INVALID”等报错。关键在于：CDN 不只是缓存 HTML 或图片，它也会缓存 TLS 握手阶段发送的证书链内容，且这个缓存通常不随源站证书更新自动刷新。
确认是否真是 CDN 缓存导致的问题
绕过 CDN，直连源站 IP + 443 端口，用 OpenSSL 验证真实链：
- 运行：openssl s_client -connect 源站IP:443 -servername your-domain.com -showcerts 2>/dev/null | grep "subject="
- 若输出含两行以上（如 CN=your-domain.com 和 CN=Let's Encrypt R3），说明源站 Nginx 配置已正确；
- 再对加速域名执行同样命令：openssl s_client -connect your-domain.com:443 -servername your-domain.com -showcerts，对比 subject 行数和中间 CA 名称；
- 若 CDN 域名只返回一行，或第二行是旧中间证书（如已停用的 X1）、甚至根证书，基本可锁定为 CDN 缓存未更新。
检查 CDN 控制台的 SSL 配置状态
不同厂商操作路径略有差异，但核心要查三点：
- 证书是否已成功部署到所有节点：部分 CDN 显示“部署中”“待生效”或仅部署到部分区域（如仅中国内地），需确认状态为“已生效”且覆盖全部启用区域；
- 证书链是否被自动补全：有些平台勾选“自动补全中间证书”才生效，若关闭或灰显，可能只上传了 cert.pem，未拼 fullchain；
- 是否有“强制使用源站证书”选项被误开启：该功能会跳过 CDN 自管证书，直接透传源站证书链——此时若源站链有问题，报错就会暴露；但若源站已修复而此选项仍开着，反而会绕过 CDN 新证书。
清除 CDN 证书缓存并强制重推
多数 CDN 不提供单独“清证书缓存”按钮，需触发证书重部署：
- 重新上传同一份 fullchain.pem + privkey.pem（哪怕内容没变），点击“部署”或“更新证书”；
- 部分平台支持“刷新证书”或“强制同步”，优先使用；
- 如使用阿里云 CDN、腾讯云 CDN 或 Cloudflare，注意其控制台有“证书预热”或“全球分发进度”提示，等待显示 100% 后再验证；
- 避免依赖 DNS TTL：证书更新与 DNS 解析无关，改 CNAME 或 TTL 不解决证书缓存问题。
交叉验证与规避临时影响
CDN 全球节点刷新有延迟，可用以下方式快速确认效果：
- 用不同地区代理（如新加坡、法兰克福、圣保罗）访问加速域名，分别跑一次 openssl s_client；
- 在手机上用 Chrome 无痕+飞行模式切换（断网再连），或 iOS Safari 清除“历史记录与网站数据”（会清 HSTS 和 TLS 会话缓存）；
- 用 SSL Labs（ssllabs.com）测试时，勾选“Do not show results from cache”，确保抓取实时握手；
- 若仍有节点报错，说明该区域尚未完成刷新，需等待或联系 CDN 厂商人工干预。
