：网站使用nginx加载https证书，谷歌浏览器117版本出现不安全提示，报错NET:ERR_CERT_AUTHORITY_INVALID

​

此报错说明：Chrome 不信任这个证书的颁发机构（CA），认为证书是“伪造”或“无效”的。

而 Edge 能打开，是因为 Edge（基于Windows系统） 可能使用了系统自带的缓存或更宽松的下载机制，帮你“自动补全”了缺失的中间证书，也有可能是此Chrome版本太旧。

🎯 核心原因：Nginx 缺少中间证书链

你的配置中虽然指定了 ssl_trusted_certificate（用于OCSP装订），但 ssl_certificate 指向的文件（abc.cn-crt.pem）里只包含了你的“服务器证书”（叶子证书），而没有包含“中间证书（CA Bundle）”。

在 TLS 握手时，Nginx 只会把 ssl_certificate 里的内容发给浏览器。如果只发叶子证书，Chrome 无法找到完整的信任链，就会直接报 ERR_CERT_AUTHORITY_INVALID。

✅ 终极解决方案（合并证书文件）

你需要把“服务器证书”和“中间证书”合并到同一个文件里，供 ssl_certificate 使用。

1. 打开你的证书文件夹：D:/test/

2. 查看文件内容：用记事本打开 abc.cn-crt.pem 和 abc.cn-chain.pem。

   • abc.cn-crt.pem 里通常只有 1 个 -----BEGIN CERTIFICATE----- 块。

   • abc.cn-chain.pem 里通常有 1 个或 2 个中间证书块。

3. 合并操作（重要）：

   • 把 abc.cn-chain.pem 里的所有文本内容（包括 -----BEGIN 和 -----END），原封不动地复制，并粘贴到 abc.cn-crt.pem 文件的末尾。

   • 保存 abc.cn-crt.pem。此时，这个文件应该包含 2个或3个 -----BEGIN CERTIFICATE----- 块（顺序必须是：服务器证书在最前面，中间证书跟在后面）。

4. 修改 Nginx 配置（二选一）：

   • 方案A（推荐）：保持 ssl_certificate 指向合并后的 abc.cn-crt.pem。

   • 方案B（更清晰）：直接将 ssl_certificate 指向那个完整的链文件：

     nginx

     ssl_certificate D:/test/abc.cn-chain.pem;  # 前提是这个文件包含了服务器证书+中间证书
     ssl_certificate_key D:/test/abc.cn-key.pem;

5. 重载 Nginx：

   bash

   nginx -s reload