Nginx中证书复用取决于SNI机制与证书域名匹配，而非server_name；通配符（如*.example.com）或SAN多域名证书可被多个server块共用同一ssl_certificate路径，需确保证书覆盖所有域名且私钥权限严格。

Nginx 的 server_name 本身不决定证书是否复用，真正起作用的是 SNI（Server Name Indication）机制 和 证书的域名匹配规则。只要多个域名共用同一张通配符证书（如 *.example.com）或 SAN 多域名证书（含 a.example.com, b.example.com），就能在同一个 ssl_certificate 配置下被 Nginx 正确识别和复用。

关键不是“怎么让 server_name 复用证书”，而是：如何让一张证书合法覆盖多个域名，并让 Nginx 在不同 server 块中安全、无冲突地加载它。

---

✅ 确保证书本身支持多域名

• 通配符证书：如 *.myapp.com，可匹配 api.myapp.com、admin.myapp.com，但 不匹配 myapp.com（根域）或 sub.api.myapp.com（二级通配不递归）。
• SAN（Subject Alternative Name）证书：申请时明确列出所有域名，例如：

  DNS Name=www.myapp.com
  DNS Name=app.myapp.com
  DNS Name=cdn.myapp.com

  这类证书一张就能覆盖多个完全独立的域名（甚至不同主域，如 myapp.com 和 myapp.net，只要 CA 允许且你填进去了）。

⚠️ 注意：单域名证书（仅含 www.myapp.com）无法用于 api.myapp.com，Nginx 不会报错，但浏览器会提示“证书不匹配”。

---

✅ 在 Nginx 中复用同一份证书文件（推荐方式）

把多个 server 块都指向相同的 .crt 和 .key 路径，无需复制证书文件：

linux-sysadmin

Linux系统管理专家，覆盖12大模块：用户权限、SSH、存储、网络、systemd、防火墙、日志监控、备份恢复、TLS证书、Ansible、容器、IaC。提供配置、验证、加固、监控、备份、自动化、故障排查、回滚闭环。关键词：useradd、sudo、sshd_config、chmod、SEL...

下载

# 公共证书路径（统一管理，便于更新）
ssl_certificate     /etc/nginx/ssl/myapp_bundle.crt;
ssl_certificate_key /etc/nginx/ssl/myapp.key;

server {
    listen 443 ssl http2;
    server_name www.myapp.com;
    # …… 其他配置
}

server {
    listen 443 ssl http2;
    server_name api.myapp.com;
    # …… 其他配置
}

server {
    listen 443 ssl http2;
    server_name cdn.myapp.com;
    # …… 其他配置
}

✅ 这样写是安全且高效的：Nginx 启动时只读一次证书，多个 server 共享内存中的解析结果。

---

✅ 避免常见错误

• 不要为每个域名单独建证书目录或重命名证书文件：徒增维护成本，更新时容易漏改。
• 不要在不同 server 块里写不同 ssl_certificate 路径却指向同一文件：语法上可行，但易引发权限或路径拼写失误。
• 不要混用 HTTP/HTTPS 的 server_name 逻辑：比如 server_name example.com 在 80 端口块里写了，又在 443 块里漏写——会导致 HTTPS 请求无法路由到正确 server 块。
• 确保私钥权限严格：
  sudo chmod 600 /etc/nginx/ssl/myapp.key
sudo chown root:root /etc/nginx/ssl/myapp.*

---

✅ 可选：用 include 抽离公共 SSL 配置（更清晰）

把 TLS 参数和证书路径抽成独立文件，便于复用和审计：

# 创建公共 SSL 配置
sudo tee /etc/nginx/snippets/ssl-common.conf << 'EOF'
ssl_certificate     /etc/nginx/ssl/myapp_bundle.crt;
ssl_certificate_key /etc/nginx/ssl/myapp.key;
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;
ssl_prefer_server_ciphers off;
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 10m;
EOF

然后在每个 server 块中引用：

server {
    listen 443 ssl http2;
    server_name www.myapp.com;
    include snippets/ssl-common.conf;
    # ……
}

不复杂但容易忽略