统一管理 SSL 证书路径的核心是避免硬编码、减少重复、便于维护和批量更新；推荐用独立 conf 文件定义通用 HTTPS 配置片段并 include 复用，或按域名分目录存放证书配合符号链接动态切换。

统一管理 SSL 证书路径的核心是**避免硬编码、减少重复、便于维护和批量更新**。Nginx 本身不支持变量定义（如 $cert_path），但可通过配置结构设计实现逻辑上的“统一管理”。

使用 include 指令集中定义证书路径

在主配置文件（如 /etc/nginx/nginx.conf）的 http 块顶部，用 include 引入一个专门存放证书路径的配置文件：

• 创建统一路径配置文件：/etc/nginx/conf.d/ssl-paths.conf
• 内容只写两行（路径可按需调整）：
  

  set $ssl_cert /etc/nginx/ssl/fullchain.pem;<br>
  set $ssl_key  /etc/nginx/ssl/privkey.pem;

  
  ⚠️ 注意：Nginx 的 set 指令在 server 或 location 块中才生效，不能直接用于 http 块赋值证书路径；所以更可靠的方式是——

推荐做法：用独立 conf 文件定义通用 server 模板

新建 /etc/nginx/conf.d/ssl-common.conf，内容为可复用的 HTTPS 配置片段（不含 server 块，仅含 ssl_* 指令）：

• ssl_certificate /etc/nginx/ssl/fullchain.pem;
• ssl_certificate_key /etc/nginx/ssl/privkey.pem;
• ssl_trusted_certificate /etc/nginx/ssl/ca-bundle.crt;
• ssl_protocols TLSv1.2 TLSv1.3;
• ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;
• ssl_prefer_server_ciphers off;
• ssl_session_cache shared:SSL:10m;
• ssl_session_timeout 10m;

然后在每个站点的 server 块中直接 include /etc/nginx/conf.d/ssl-common.conf;。这样所有站点共用同一套证书路径和安全策略，修改一处即全局生效。

按域名分目录存放证书，路径命名标准化

把证书按域名组织，路径结构清晰，也利于脚本化管理：

SSL Certificate Monitor

检查一个或多个域名的 SSL/TLS 证书到期时间、颁发者、协议及 SAN 信息，用于应要求检查证书、监控到期或验证 HTTPS 等场景。

下载

• /etc/nginx/ssl/example.com/fullchain.pem
• /etc/nginx/ssl/example.com/privkey.pem
• /etc/nginx/ssl/api.example.com/fullchain.pem
• /etc/nginx/ssl/api.example.com/privkey.pem

对应地，在各站点配置中写成：

ssl_certificate     /etc/nginx/ssl/example.com/fullchain.pem;<br>
ssl_certificate_key /etc/nginx/ssl/example.com/privkey.pem;

虽然路径仍需逐个填写，但结构一致、语义明确，配合配置生成脚本（如 Jinja2 或 shell 模板）可自动产出全部 server 块，避免人工出错。

配合符号链接实现动态切换

若需快速切换不同环境（如 staging / production）的证书，可在固定路径设软链：

• ln -sf /etc/nginx/ssl/staging/fullchain.pem /etc/nginx/ssl/current.crt
• ln -sf /etc/nginx/ssl/staging/privkey.pem /etc/nginx/ssl/current.key

所有 server 块统一引用 /etc/nginx/ssl/current.crt 和 /etc/nginx/ssl/current.key。切换时只需改链接目标，无需改任何 Nginx 配置文件。