Nginx必须在TLS握手时发送完整的证书链（域名证书+中间证书），否则严格验证的客户端会报证书错误；需用openssl命令确认实际发送的证书数量，拼接fullchain.pem（域名证书在前、中间证书紧随其后、不含根证书），并配置ssl_certificate指向该文件。
核心就一件事：让 Nginx 在 TLS 握手时，把你的域名证书和中间证书一起发给客户端。浏览器、安卓、curl 或 Python requests 等严格验证的客户端，必须收到完整的链（至少两段证书），才能完成信任路径校验。只发域名证书，必然报 NET::ERR_CERT_AUTHORITY_INVALID 或 CERTIFICATE_VERIFY_FAILED。
先确认是不是证书链真缺了
别猜，用命令直接看 Nginx 实际发了什么：
- 在服务器上执行：
openssl s_client -connect your-domain.com:443 -showcerts 2>/dev/null | grep "BEGIN CERTIFICATE" - 正常应输出至少两行
-----BEGIN CERTIFICATE-----—— 第一行是你自己的证书，第二行必须是中间 CA（比如Let's Encrypt R3或DigiCert SHA2 Secure Server CA） - 如果只有一行，或第二行写着
self signed certificate，说明链确实不完整 - 安卓访问报错但 Chrome 正常，大概率就是这个原因（安卓验证更严）
正确拼出 fullchain.pem 文件
这个文件是关键载体，内容顺序和格式不能错：
- 第一部分：你的域名证书（如
example.com.crt），含完整BEGIN/END CERTIFICATE块 - 紧接着：中间证书（如
intermediate.crt或ca-bundle.crt；若有多级，按信任路径从近到远追加） - 绝对不要包含根证书（Root CA）——它已内置在客户端，Nginx 发送反而可能干扰
- 两段之间不能有空行、不能混入私钥、不能用 Windows 记事本保存（避免编码异常）
- 拼接命令：
cat example.com.crt intermediate.crt > fullchain.pem - 验证是否成功：
grep -c "BEGIN CERTIFICATE" fullchain.pem应返回 ≥2
改 Nginx 配置并重载
只改这一处，其他不动：
-
ssl_certificate必须指向你刚拼好的fullchain.pem（不是原来的.crt） -
ssl_certificate_key仍用原始私钥文件（如privkey.pem），保持不变 - 删掉或注释掉旧的
ssl_certificate /xxx/your-domain.crt;行 - 执行：
nginx -t && systemctl reload nginx
别被 ssl_trusted_certificate 带偏
这个指令对修复“客户端证书链不完整”完全无效：
- 它不参与服务端证书下发，浏览器根本收不到它
- 只用于 Nginx 内部场景：比如启用 OCSP stapling 时验证响应签名，或开启双向 TLS（
ssl_verify_client on）时校验客户端证书 - 设了它，不会让 Chrome 或安卓多信任你一分；不设它，也不影响证书链修复
