Nginx不支持启动时交互输入私钥密码，因其为无交互守护进程，无法读取stdin；若私钥加密，启动将失败。推荐提前用openssl rsa -in key.pem -out key-unencrypted.pem解密并严格设权限。
Nginx 本身不支持在启动时交互式输入私钥密码（即不提供类似 OpenSSL 的 Enter pass phrase: 提示），因为其设计为无交互、守护进程模式运行。若私钥被密码保护，Nginx 启动会直接失败，报错如：SSL_CTX_use_PrivateKey_file("...") failed (SSL: error:0909006C:PEM routines:get_name:no start line) 或更明确的 SSL_ERROR_SSL，本质是无法解密加密的私钥。
为什么 Nginx 不交互输入密码
Nginx 是常驻后台的服务器进程，没有控制台（stdin）上下文，也不处理终端交互。即使你手动运行 nginx -t 或 nginx，它也不会暂停等待你输入密码——它只会尝试一次性读取并解析私钥文件。如果私钥是 PEM 格式且用 AES-128-CBC 等加密过（常见于 openssl genrsa -aes256 key.pem 2048），Nginx 无法自动获取解密口令。
推荐做法：移除私钥密码（生产环境需谨慎）
最常用、最兼容的方式是**提前解密私钥**，生成一个无密码的副本供 Nginx 使用：
- 用 OpenSSL 解密并保存为新文件（系统管理员操作一次即可）：
openssl rsa -in key.pem -out key-unencrypted.pem
执行时会提示输入原密码，成功后得到明文私钥。 - 确保新私钥权限严格：
chmod 400 key-unencrypted.pem
并仅允许 Nginx worker 进程用户（如www-data或nginx）读取。 - 在 Nginx 配置中引用解密后的文件：
ssl_certificate_key /etc/nginx/ssl/key-unencrypted.pem;
替代方案：使用密钥代理或外部解密服务（高级）
若安全策略强制要求私钥始终加密存储，可考虑以下方式（非 Nginx 原生支持，需额外组件）：
-
使用 systemd 的
ExecStartPre+openssl临时解密：在启动 Nginx 前自动解密到内存文件系统（如/run），并设置正确权限；Nginx 加载后，可通过定时清理或服务重启自动失效。 - 集成 HashiCorp Vault 或 AWS KMS：通过脚本调用 Vault API 获取解密后的私钥内容，写入临时路径，再由 Nginx 加载。需配合 reload 机制与生命周期管理，复杂度高，适合大规模密钥治理场景。
- 改用支持 PKCS#11 或引擎的 OpenSSL 版本 + 自定义引擎：极少见，需编译定制 Nginx 和 OpenSSL，并配置硬件模块或软件密钥后端，运维成本极高，一般不推荐。
不推荐的做法：试图“绕过”或 hack 启动流程
例如：
– 用 expect 脚本模拟输入（对守护进程无效，且引入安全隐患）；
– 修改 Nginx 源码添加密码提示（破坏可维护性，升级困难）；
– 把密码硬编码进配置或 shell 脚本（严重违反最小权限与保密原则）。
这些方式要么技术上不可行，要么带来更大风险，应避免。
