SSL证书PFX格式转换为Nginx可用PEM格式方法

Nginx 本身无法直接使用 PFX 证书文件，因此需要先将其转换并拆分为 server.crt（包含完整证书链）和 server.key（无密码的 PEM 私钥，文件权限建议设置为 chmod 600）；通常需要借助 openssl pkcs12 分步骤导出，然后再手动检查证书链顺序、编码格式、文件权限以及整体内容是否正确无误。

Nginx 不能直接读取 PFX 格式证书，必须先将它拆分为两个独立的 PEM 文件：一个是包含完整证书链的 .crt（也可以使用 .pem），另一个是明文私钥 .key。简单来说，这一步的核心是“解包、分离、校验”，绝不是把文件后缀名随意修改一下就能完成的。

提取私钥（server.key）

执行命令：

openssl pkcs12 -in your-cert.pfx -nocerts -nodes -out server.key

输入 PFX 文件密码后，生成的 server.key 应以 -----BEGIN PRIVATE KEY----- 开头。导出完成后，建议立即设置文件权限：

chmod 600 server.key

Nginx 通常会拒绝加载权限高于 600 的私钥文件，这是部署 SSL 证书时必须注意的硬性要求。

提取证书链（server.crt）

推荐分两步处理，能够更稳妥地避免遗漏中间证书：

• 先导出完整 PEM 包：openssl pkcs12 -in your-cert.pfx -out cert.pem -nodes
• 使用文本编辑器打开 cert.pem，再手动拆分内容：
  • 第一个 -----BEGIN CERTIFICATE----- 到对应的 -----END CERTIFICATE----- → 保存为 server.crt
  • 后续所有 -----BEGIN CERTIFICATE----- 证书块 → 全部复制并追加到 server.crt 文件末尾（顺序必须正确）
  • 单独出现的 -----BEGIN PRIVATE KEY----- 块 → 该部分已用于生成 server.key，这里可以忽略

验证与检查要点

完成 PFX 转 PEM 并生成 Nginx 可用证书后，务必逐项确认以下内容：

• 编码无 BOM：使用 file server.crt server.key 检查文件是否显示为 “ASCII text”；如果显示为 “UTF-8 Unicode (with BOM)”，则需要用 vim 或 dos2unix 去掉 BOM
• 无多余空行：证书块和私钥块的首尾都不应有多余空行，尤其是在 -----END 后不要换行再写其他内容
• 证书链顺序正确：执行 head -n 5 server.crt 应先看到服务器证书，后续内容再依次是中间证书，根证书通常不需要放进去
• 私钥格式合规：运行 openssl rsa -check -in server.key -noout，若没有报错，说明私钥格式正常，Nginx 一般可以正确加载

Nginx 配置中如何使用

配置示例如下（证书路径请按实际环境调整）：

server {
listen 443 ssl;
server_name example.com;
ssl_certificate /etc/nginx/ssl/server.crt;
ssl_certificate_key /etc/nginx/ssl/server.key;

# 其他 SSL 设置（协议、加密套件等）
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;
}

注意：ssl_certificate 指向的必须是已经合并了服务器证书与中间证书的 server.crt 文件，而不是原始的 PFX 文件，也不是仅包含单张证书的文件。