HTTPS 证书配置错误通常导致客户端在 TLS 握手阶段拒绝连接，鉴权请求根本无法发出。排查重点在于确认证书链完整性、域名匹配性及有效期，优先使用 curl 或 openssl 命令模拟请求定位报错阶段。
先说结论：HTTPS 证书问题会阻断传输层连接，应用层鉴权逻辑不会执行，必须先恢复 TLS 握手成功。
- 先确认：客户端系统时间是否同步，证书有效期是否覆盖当前时间。
- 先处理：补全缺失的中间证书，确保证书域名与 API 请求域名完全一致。
- 再验证：使用 curl -v 命令观察 handshake 阶段是否报错，确认 HTTP 状态码返回。
命令速用版
# 查看证书详细信息及链路
openssl s_client -connect api.example.com:443 -servername api.example.com
# 模拟请求并显示握手过程
curl -v https://api.example.com/v1/auth为什么会这样
TLS 握手发生在 HTTP 协议之前，证书验证失败会导致连接直接断开。客户端 SDK 或浏览器在握手阶段检测到证书不可信、过期或域名不匹配时，会抛出 SSL_ERROR，请求不会到达服务器鉴权模块。
分步处理
步骤 1：检查客户端系统时间
操作动作：在客户端机器执行 date 命令。
验证结果：时间偏差超过证书有效期范围会导致验证失败。
风险边界：修改系统时间可能影响其他服务，建议同步 NTP 服务。
步骤 2：检查证书链完整性
操作动作：使用 openssl 命令连接服务器，观察 Certificate Chain 输出。
验证结果：必须看到从叶子证书到根证书的完整链条，缺失中间证书会导致部分客户端不信任。
风险边界：重启 Web 服务器加载新证书前请备份原配置文件。
步骤 3：检查域名匹配性
操作动作：核对证书 CN 或 SAN 字段与 API 请求 Host 头。
验证结果：SAN 字段必须包含请求的域名，IP 地址直接访问通常不被信任。
风险边界：通配符证书只能匹配一级子域名，不能匹配多级。
怎么验证是否生效
执行 curl -v 命令，观察输出中是否出现 SSL certificate problem 错误。若握手成功，应能看到 HTTP/2 或 HTTP/1.1 协议协商结果及 200/401 等业务状态码，而非 curl: (60) 类错误。
常见坑
- 中间证书缺失：Windows 和部分 Java 环境可能自动补全，但 Linux 和移动端常直接报错。
- SNI 配置错误：同一 IP 托管多个域名时，未配置 SNI 会导致返回默认证书，引发域名不匹配。
- 自签名证书生产环境使用：公共客户端默认不信任自签名证书，需手动导入根证书。
常见问题
证书未过期为什么还报错？
可能是证书链不完整或客户端不受信任该 CA 机构。检查 openssl 输出中是否显示 Verify return code: 0 (ok)。
本地能访问线上报错怎么办？
本地环境可能信任了特定根证书或 hosts 做了配置。对比线上客户端与服务端的 TLS 握手日志差异。
更换证书后需要重启服务吗？
大多数 Web 服务器如 Nginx 需要 reload 配置才能加载新证书文件。部分支持热加载的应用除外。