如何设置Nginx的proxy_ssl_verify_depth来限制后端证书链校验深度？

本文共计761个文字，预计阅读时间需要4分钟。

>

请提供需要改写的原文，我将根据您的要求进行简化改写。

为什么需要设置 proxy_ssl_verify_depth？

多数公网服务使用“根 CA → 中间 CA → 终端证书”三级结构。Nginx 默认只验证一级（verify_depth = 1），即仅检查终端证书是否由 proxy_ssl_trusted_certificate 中的某个证书直接签发。若后端返回的证书由中间 CA 签发，而该中间 CA 又由根 CA 签发，Nginx 就会因无法在可信证书文件中直接找到签发者而校验失败，报错 certificate verify failed。

此时需将深度设为 2 或 3，让 Nginx 沿证书链逐级向上验证，直到匹配到可信根证书。

正确配置方式与取值建议

该指令必须出现在启用证书校验的 location 或 upstream 块中，且需确保以下基础项已就位：

• proxy_ssl_verify on;
• proxy_ssl_trusted_certificate /path/to/ca-bundle.crt;（含根 CA + 所有必需中间 CA）
• proxy_ssl_name "backend.example.com";
• proxy_ssl_server_name on;

在此基础上添加：

proxy_ssl_verify_depth 3;

常见取值说明：

• 1：仅验证终端证书是否由可信证书直接签发（适用于自签名或根 CA 直签场景）
• 2：支持“根 CA → 终端证书”或“根 CA → 中间 CA → 终端证书”中较短链（多数云厂商 API 适用）
• 3：兼容更长链，如某些私有 PKI 或多层中间 CA 架构（推荐生产环境起步值）

配套操作要点

仅调大 depth 不足以解决问题，还需同步确认：

• proxy_ssl_trusted_certificate 文件中是否包含完整的信任链——必须同时包含根 CA 和所有中间 CA 证书，顺序不限，但缺一不可
• 后端实际返回的证书链是否完整？可用 openssl s_client -connect host:port -servername domain -showcerts 查看输出中证书数量和层级
• Nginx 进程对证书文件是否有读权限？用 ls -l 检查，避免因权限问题导致加载失败，depth 设置无效
• 修改后务必执行 nginx -t 测试配置，再 nginx -s reload

典型错误表现与验证方法

若 depth 设置过小，错误日志通常出现：

SSL_do_handshake() failed (SSL: error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed:unable to get issuer certificate)

这不是证书过期或域名不匹配，而是“找不到签发者”。此时可临时开启 debug 日志（error_log /var/log/nginx/error.log debug;），观察握手阶段具体在哪一级中断。验证通过后记得关掉 debug，防止日志膨胀。