关键在于不中断服务和不改配置：使用绝对路径固定证书位置，原子化替换文件（mv），再执行nginx -t && nginx -s reload，使新连接启用新证书、旧连接继续用旧证书。
证书到期前实现 Nginx HTTPS 的无缝更新替换，关键在于「不中断服务」和「不改配置」。只要现有配置已正确指向证书路径，后续只需安全替换文件并重载，就能让新证书毫秒生效，老连接继续用旧证，新连接立即启用新证。
确保证书路径固定且为绝对路径
检查你的 server 块中是否使用了明确的绝对路径，例如：
ssl_certificate /etc/nginx/ssl/example.com/fullchain.pem;
ssl_certificate_key /etc/nginx/ssl/example.com/privkey.pem;
避免相对路径、环境变量或符号链接——这些在 reload 时可能读取失败或缓存旧内容。固定路径能保证每次 reload 都强制从磁盘加载最新文件。
原子化替换证书文件
不要直接用 cp 覆盖原文件，防止 Nginx 在写入中途读到不完整内容。推荐以下三步操作：
- 将新证书和私钥先写入临时位置，比如 /tmp/new-fullchain.pem 和 /tmp/new-privkey.pem
- 用 mv 命令原子替换（Linux 下 mv 同一文件系统内是原子操作）：
mv /tmp/new-fullchain.pem /etc/nginx/ssl/example.com/fullchain.pem
mv /tmp/new-privkey.pem /etc/nginx/ssl/example.com/privkey.pem - 确认新文件权限正确：证书建议 644，私钥必须 600，属主为 nginx 运行用户（如 www-data 或 nginx）
验证后平滑重载 Nginx
替换完成后，按顺序执行：
- 运行 nginx -t 确认语法无误、路径可读
- 执行 nginx -s reload（或 systemctl reload nginx）
- 该操作不会断连：已有 HTTPS 连接继续使用旧证书，新建立的连接自动协商新证书
自动化续期推荐方案
如果不想人工盯到期日，可用工具实现真正“免运维”：
- httpsok：适合不敢动配置的老站点。安装后自动识别现有证书路径，到期前 15 天 DNS 验证签发、原子覆盖、reload，全程无需改 conf
- certbot + nginx 插件：适合新部署或可接受配置微调的环境。运行 certbot --nginx -d example.com 会自动修改配置并设置定时 renew
- 无论哪种，首次配置好后，都建议手动触发一次 certbot renew --dry-run 或在 httpsok 控制台点「立即续期」验证流程是否跑通
