Nginx中server_name正则捕获变量无法在ssl_certificate中替换

我之前也踩过这个坑，核心原因是Nginx的配置加载阶段和请求处理阶段完全分离：

• ssl_certificate 和 ssl_certificate_key 是在Nginx启动加载配置时就需要确定的指令，这时候$tld、$1这类从请求中捕获的变量还没有任何值，Nginx会直接把$tld当成文件名的一部分去查找，自然会报“找不到文件”的错误。

下面给你几个可行的解决方案，根据你的场景选就行：

方案1：用OpenResty动态加载证书（适合多动态域名场景） #

如果你的环境用的是OpenResty（Nginx+Lua扩展），这是最灵活的方式，能在请求阶段动态根据捕获的变量加载证书：

server {
    listen 443 ssl;
    # 用正则捕获顶级域名到$tld变量
    server_name ~^.*\.(?<tld>[a-z0-9-]+)$;

    # 通过Lua脚本动态加载对应证书
    ssl_certificate_by_lua_block {
        local tld = ngx.var.tld
        # 替换成你的证书和密钥路径规则
        local cert_path = "/etc/ssl/private/ssl-chain-domain-" .. tld .. ".pem"
        local key_path = "/etc/ssl/private/ssl-domain-" .. tld .. ".key"

        local ok, err = ngx.ssl.certificate(cert_path, key_path)
        if not ok then
            ngx.log(ngx.ERR, "加载", tld, "证书失败: ", err)
            return ngx.exit(500)
        end
    }

    # 其他业务配置...
}

注意：要确保OpenResty已经安装了ngx_http_ssl_module和ngx_http_lua_module，而且证书文件的权限要给Nginx运行用户（比如www-data）可读权限。

方案2：为每个TLD单独写server块（适合少量固定域名） #

如果你的域名后缀不多，直接硬编码每个server块反而最稳妥，完全不会有变量解析的问题：

server {
    listen 443 ssl;
    server_name *.example.com;
    ssl_certificate /etc/ssl/private/ssl-chain-domain-example.com.pem;
    ssl_certificate_key /etc/ssl/private/ssl-domain-example.com.key;
    # 其他配置...
}

server {
    listen 443 ssl;
    server_name *.test.org;
    ssl_certificate /etc/ssl/private/ssl-chain-domain-test.org.pem;
    ssl_certificate_key /etc/ssl/private/ssl-domain-test.org.key;
    # 其他配置...
}

这种方式Nginx启动时就能直接加载所有证书，稳定性最高，适合域名数量少的场景。

方案3：用map指令映射证书路径（需Nginx 1.15.9+） #

从Nginx 1.15.9版本开始，ssl_certificate支持使用map变量，核心是利用$ssl_server_name（TLS握手时的SNI字段）来做映射：

先在http块里定义map规则：

http {
    # 映射SNI域名到证书路径
    map $ssl_server_name $cert_path {
        ~^.*\.(?<tld>[a-z0-9-]+)$ /etc/ssl/private/ssl-chain-domain-$tld.pem;
        # 可选：配置默认证书，防止匹配不到时出错
        default /etc/ssl/private/default-cert.pem;
    }

    # 同理映射密钥路径
    map $ssl_server_name $key_path {
        ~^.*\.(?<tld>[a-z0-9-]+)$ /etc/ssl/private/ssl-domain-$tld.key;
        default /etc/ssl/private/default-key.key;
    }

    server {
        listen 443 ssl;
        server_name ~^.*\.(?<tld>[a-z0-9-]+)$;
        ssl_certificate $cert_path;
        ssl_certificate_key $key_path;
        # 其他配置...
    }
}

这里的$ssl_server_name是在TLS握手阶段就会被获取到的值，Nginx能在握手时正确解析变量并加载对应证书，不需要依赖请求阶段的变量。

最后提醒几个关键点： #

• 所有证书文件的权限必须正确，Nginx运行用户要有读权限；
• 方案3要求Nginx版本≥1.15.9，老版本不支持；
• 修改配置后一定要用nginx -t检查语法，没问题再重启Nginx。

内容的提问来源于stack exchange，提问作者Mart