Nginx加载Let's Encrypt证书失败，添加空格后恢复正常的原因排查

遇到过类似的诡异问题，来帮你拆解一下这个现象背后的原因：

首先先明确你的问题场景：

我们通过Let's Encrypt生成了证书并尝试在Nginx中使用，但遇到了奇怪的错误：
cannot load certificate "/home/path/site.pem": PEM_read_bio_X509_AUX() failed
后来发现的解决方法是在证书内容的开头（-----BEGIN CERTIFICATE-----下方的第一行前）添加一个空格，证书就能正常加载了（为了安全已修改证书内容）。

核心原因：证书文件存在隐藏的格式异常 #

Nginx依赖OpenSSL库解析PEM格式证书，而OpenSSL的PEM解析器对格式要求极其严格，哪怕是一个看不见的小字符都可能导致解析失败。你的情况最可能是以下几种场景：

• UTF-8 BOM字节顺序标记干扰
  如果你的证书文件被误保存为带BOM的UTF-8格式（而非纯ASCII），文件开头会有三个隐藏字节\xef\xbb\xbf。OpenSSL会把这三个字节当作证书编码内容的一部分，直接导致解析失败。当你添加一个空格后，解析器会跳过开头的空白字符，间接忽略了BOM的影响，从而正确读取后续的证书内容。

• 不可见控制字符插入
  证书生成或复制过程中，可能意外插入了制表符、换行变体（比如Windows的\r\n和Linux的\n混合）或者其他控制字符在-----BEGIN CERTIFICATE-----之后的第一行开头。这些字符肉眼不可见，但会被OpenSSL当作无效的证书编码，引发错误。添加空格后，解析器会将开头的空白（包括那个隐藏字符）视为可跳过的内容，从而正确解析后面的证书数据。

• 证书行长度异常
  PEM证书要求每行编码内容为64个字符（最后一行可以更短）。如果第一行的长度因为隐藏字符导致超出/不足规范，添加空格后调整了行长度，让解析器能按标准块读取证书内容——不过这种情况在Let's Encrypt生成的证书中比较少见，官方工具通常会严格遵循格式。

验证方法 #

你可以用以下命令排查证书文件的异常：

1. 执行cat -A site.pem查看文件，这个命令会显示所有隐藏字符（比如BOM会显示为特殊符号，换行符显示为$），重点检查-----BEGIN CERTIFICATE-----之后的第一行开头。
2. 执行hexdump -C site.pem查看十六进制内容，检查文件开头是否有ef bb bf的字节序列（这就是UTF-8 BOM）。

正确的修复方式 #

不要依赖添加空格这种临时 workaround，建议直接修复证书文件：

• 如果是BOM问题：用支持无BOM保存的编辑器（比如Vim中执行set nobomb后保存，或者VS Code中选择“UTF-8无BOM”编码保存）重新导出证书。
• 如果是隐藏控制字符：直接删除第一行开头的异常字符，确保第一行是纯证书编码内容。

备注：内容来源于stack exchange，提问作者Vikas Singhal