Docker Compose配置Nginx自签SSL证书遇SEC_ERROR_UNKNOWN_ISSUER错误

DevOps 小满

2026-5-26

解决Nginx自签名证书SEC_ERROR_UNKNOWN_ISSUER错误

我来帮你排查这个SSL证书的问题，Firefox报的SEC_ERROR_UNKNOWN_ISSUER通常是因为浏览器不认可证书的签发者，结合你用的这个Nginx SSL镜像，咱们一步步来解决：

确认证书文件的挂载与权限
这个镜像默认读取证书的路径一般是/etc/nginx/ssl，你需要确保自己生成的自签名证书（.crt）和私钥（.key）已经正确挂载到容器的这个目录下。可以进入容器执行命令检查：
```
docker exec -it your-nginx-container-name ls -l /etc/nginx/ssl
```
要保证文件存在，且权限设置为600左右（nginx需要能读取这些敏感文件）。
核对Nginx配置中的证书路径
打开你的站点Nginx配置文件，确认ssl_certificate和ssl_certificate_key的路径完全正确，指向你挂载的证书文件，比如：
```
server {
    listen 443 ssl;
    server_name your-domain.local;

    ssl_certificate /etc/nginx/ssl/your-domain.crt;
    ssl_certificate_key /etc/nginx/ssl/your-domain.key;

    # 其他配置...
}
```
别写错文件名或者路径，这是很容易踩的坑。
检查自签名证书的生成参数
生成自签名证书时，必须保证**Common Name（CN）**和你访问的域名完全一致（比如用localhost访问，CN就设为localhost）。生成命令参考：
```
openssl req -x509 -newkey rsa:4096 -keyout your-domain.key -out your-domain.crt -days 365 -nodes
```
执行命令时，在提示填写Common Name的时候，一定要输入你实际访问的域名/IP，不能留空或者填错。
手动将证书导入Firefox信任列表
自签名证书本身不被浏览器默认信任，你需要手动添加信任：
1. 在Firefox地址栏输入about:preferences#privacy，找到「证书」区域的「查看证书」
2. 切换到「证书机构」标签，点击「导入」，选择你的.crt文件
3. 勾选「信任此CA来识别网站」，完成导入后重启浏览器再访问试试。
确保容器已重启生效配置
替换证书或配置后，一定要重启Nginx容器让新配置生效：
```
docker restart your-nginx-container-name
```