新安装有效SSL证书被提示过期或授权无效问题求助

1. Nginx配置异常 #

• 多域名/多server块冲突：如果你的VPS上Nginx配置了多个监听443端口的server块，且部分server块仍配置了旧的过期证书，SNI匹配失败时会返回旧证书，就会出现偶尔报错、不同工具检测结果不一致的情况。你可以执行nginx -T命令打印全量生效配置，检查所有443端口相关的server块的ssl_certificate、ssl_certificate_key配置项是否都指向了新的证书文件。
• 证书链配置不完整：你只上传了域名证书，没有附带中间证书，会导致部分客户端无法完整校验证书信任链，偶尔报授权无效错误。检查Nginx配置的ssl_certificate对应的文件，是否已经把域名证书、中间证书按顺序拼接完整。
• Nginx未重载生效：修改证书配置后只重启了Node.js服务，没有执行nginx -s reload重载Nginx配置，或者重载过程中出错未生效，部分worker进程还在使用旧证书，就会出现偶发异常。你可以先执行nginx -t检查配置是否合法，再执行重载命令确认配置生效。

2. 端口监听逻辑冲突 #

• Node.js服务直接监听了443端口：如果你的Node.js服务也单独配置了SSL证书且监听了443端口，和Nginx的监听配置出现抢占，部分请求落到Node.js的旧证书服务上，就会返回过期证书。需要确认Node.js服务是否关闭了SSL配置，仅监听本地端口供Nginx反向代理转发即可。
• 服务器上其他服务占用443端口：可以执行ss -tulnp | grep :443查看443端口的占用进程，确认只有Nginx在监听公网的443端口。

3. 缓存类问题 #

• 服务端缓存：如果你的服务器开启了CDN、边缘缓存类服务，旧证书仍缓存在节点上，部分请求命中缓存节点的旧证书就会报错。需要确认所有上层节点都已经完成证书更新，清理全部缓存后再检测。
• 客户端缓存：Postman、浏览器本地缓存了旧的证书信息，你可以清空Postman的SSL缓存，Chrome访问chrome://net-internals/#sockets清空套接字缓存后再重试。

4. 证书文件本身问题 #

• 上传证书时文件损坏：传输证书文件过程中出现内容截断、编码错误，导致Nginx读取证书异常， fallback到旧证书。你可以重新从服务商处下载完整的证书文件，重新上传到服务器后重载配置。
• 证书和域名不匹配：确认你申请的证书覆盖了当前访问的所有域名（包括带www和不带www的版本、其他子域名），如果存在未覆盖的域名访问，就会触发授权无效错误。

内容的提问来源于stack exchange，提问作者Khathu Musekwa