证书与私钥不匹配是主因，需三步排查：先查错误日志定位server块及报错类型，再用OpenSSL分别验证证书和私钥有效性，最后比对二者modulus的MD5值是否完全一致。
当 Nginx 启动时报类似 SSL_CTX_use_PrivateKey_file() failed 或 SSL_CTX_use_certificate_chain_file() failed 的错误，大概率是证书（.crt）和私钥（.key）不匹配。排查需从验证、比对、定位三步入手，不复杂但容易忽略细节。
确认 Nginx 错误日志中的具体报错行
先看完整错误信息，重点识别：
- 报错发生在哪个 server 块（通过
listen 443 ssl和ssl_certificate路径定位） - 是证书加载失败，还是私钥加载失败，还是两者都失败
- 是否提示
PEM_read_bio_PrivateKey: bad decrypt（密码错误）或no start line（格式错误）
分别检查证书和私钥文件是否合法
用 OpenSSL 命令单独验证文件语法和基本结构：
- 检查私钥是否有效且未加密：
openssl rsa -in your.key -check -noout
若提示Enter pass phrase，说明私钥有密码，需先解密或配置ssl_password_file - 检查证书是否有效：
openssl x509 -in your.crt -text -noout
能正常输出证书信息，说明格式正确、未损坏 - 检查 CSR（如有）是否与证书一致：
openssl req -in your.csr -text -noout -verify
比对证书与私钥的公钥是否一致
这是最关键的一步：证书里的公钥必须和私钥对应的公钥完全一致。执行以下两条命令，比对输出的 Modulus（十六进制字符串）是否完全相同：
- 从证书提取公钥模数：
openssl x509 -in your.crt -noout -modulus | openssl md5 - 从私钥提取公钥模数：
openssl rsa -in your.key -noout -modulus | openssl md5
如果两个 MD5 值不同，说明证书和私钥根本不是一对——常见于复制错文件、用了测试密钥、或证书由不同 CSR 签发。
检查文件路径、权限与 Nginx 用户可读性
即使内容匹配，Nginx 也可能因权限问题无法读取：
- 确保
.key文件权限 ≤600（如chmod 600 your.key），且属主是 Nginx 工作用户（通常是nginx或www-data） - 检查路径是否写错（比如少个
/、大小写混淆、软链接断裂） - 用 Nginx 用户身份手动测试读取：
sudo -u nginx openssl rsa -in /path/to/your.key -check -noout
