Nginx无法主动提示证书即将过期，因其不参与TLS握手时的有效期校验；可行方案是暴露/cert-status端点供脚本更新剩余天数，再由前端轮询或监控系统告警驱动运维。
Nginx 本身无法在证书“即将过期”时主动返回降级提示——它不监控证书有效期，也不具备提前触发响应的原生能力。浏览器或客户端只会在证书已经过期或域名不匹配等实际校验失败时拦截连接，而Nginx在此过程中只是被动出示证书，无权干预客户端的证书验证逻辑。
为什么不能靠 Nginx 做“临期提醒”？
SSL/TLS 握手发生在 TCP 连接建立后、HTTP 请求之前，整个过程由操作系统 TLS 栈和客户端（如浏览器）完成。Nginx 在此阶段仅提供证书文件，不参与有效期比对，也无法在握手成功但证书还剩3天时“插话”返回一个 HTML 页面。所谓“证书即将过期”，是运维侧的管理概念，不是网络协议层可传递的状态。
真正可行的替代方案
虽然 Nginx 不能直接实现“临期提示”，但可通过组合手段达成类似目标，核心思路是：把“证书状态”转化为 HTTP 可感知的信号，并由前端或监控系统消费：
-
暴露健康检查端点：在 server 块中添加一个无需 HTTPS 的明文接口（如
location /cert-status { return 200 "valid"; }），配合脚本定期用openssl x509 -in ... -noout -enddate检查证书剩余天数，写入该端点返回值（例如return 200 "expires_in: 4d";） -
前端轮询 + 友好提示：网页 JS 定期请求
/cert-status，若返回expires_in: <7，就在页面右上角弹出非阻断式提示：“HTTPS 证书将在 X 天后过期，请联系管理员” - 监控告警驱动运维动作：用 Prometheus + Blackbox Exporter 监控证书剩余有效期，当 certbot renew --nginx
-
强制跳转前保留 HTTP 入口：若已配置
return 301 https://$host$request_uri;，建议临时注释掉，保留location /health { return 200 "OK"; }等纯文本路径，确保监控和脚本能持续探测服务存活，避免因证书过期导致所有探测失联
注意避开常见误区
不要尝试以下做法，它们无效或危险：
- 在 Nginx 配置里写
if ($ssl_client_verify = FAILED) { ... }—— 这判断的是客户端证书，与服务端证书过期无关 - 用
error_page 495 496捕获证书错误 —— 这些是 OpenSSL 自定义码，仅用于双向认证场景，且浏览器根本不会返回它们 - 试图用 Lua 模块读取证书文件并计算时间 —— 既增加启动开销，又无法覆盖 reload 后内存中缓存的旧证书状态
- 替换为自签名证书或测试证书 —— 用户仍会看到严重警告，且破坏信任链，不能解决任何实际问题
证书生命周期管理的关键不在 Nginx 配置里加逻辑，而在于建立自动化续期+主动监控闭环。Let’s Encrypt + Certbot 定时任务 + 告警通道，才是应对“即将过期”的标准解法。
