证书指纹校验不通过本质是客户端比对服务端证书指纹失败，因Nginx未主动校验；根本原因是服务端证书内容变更而客户端仍使用旧硬编码指纹，需核对当前证书指纹、确认Nginx加载正确证书并同步更新客户端指纹配置。
证书指纹校验不通过，本质上不是 Nginx 主动“校验指纹”，而是客户端（如 curl、Java HttpClient、Go net/http 或某些 SDK）在建立 HTTPS 连接时，对服务端返回的证书做指纹比对（例如 SHA-256 指纹），发现与预设值不符，于是中止连接。Nginx 本身不生成或校验证书指纹，它只负责提供证书；问题出在**服务端证书内容实际发生了变化**，但调用方仍硬编码了旧指纹。
确认是否真为指纹校验导致失败
先排除其他更常见的 TLS 层错误：
抓包或查看客户端日志，确认报错是否明确含
fingerprint mismatch
、
certificate pinning failed
或类似关键词；
若报错是
unable to get local issuer certificate
、
self signed certificate
或
NET::ERR_CERT_AUTHORITY_INVALID
，则属于证书链或信任问题，不是指纹问题；
用
查看当前 Nginx 实际提供的证书指纹，和客户端代码里硬编码的指纹对比是否一致。
检查 Nginx 是否意外更换了证书文件
指纹变了，说明证书 PEM 内容变了。常见原因：
Nginx
在宝塔面板中轻松管理Nginx高性能Web服务器。提供可视化配置反向代理、负载均衡、SSL证书及HTTP缓存功能，一键优化高并发性能，助您高效搭建稳定、快速的网站运行环境。
下载
证书自动续期后，
指向的文件被覆盖或替换（如 Certbot 的 post-hook 脚本未重载 Nginx）；
误操作修改了证书文件（比如用文本编辑器保存时加了 BOM 或换行符）；
配置中使用了符号链接，而链接目标已被更新，但 Nginx 未重新加载；
多个 server 块共用同一份证书路径，其中一个块配置错误导致加载了其他证书（如 ssl_certificate 路径写错，Nginx 回退到默认证书）。
确保 Nginx 加载的是预期证书
执行以下步骤验证：
运行
确认语法无误；
查配置中
和
的绝对路径，用
看文件修改时间是否与续期时间吻合；
用
核对有效期，确认是否为新证书；
执行
（非 restart），确保变更生效；
再用
命令复测指纹，确认输出与客户端期望值一致。
客户端需同步更新硬编码指纹
如果确认是证书正常更新、指纹自然变更，则必须更新调用方代码中的指纹值：
不要长期硬编码指纹——建议改用 CA 根证书信任方式（如配置 truststore），或启用证书透明度（CT）日志校验；
若必须用指纹，应将指纹值外部化（如配置文件、环境变量），避免每次证书更新都改代码；
对于 Android/iOS App，注意系统级证书固定（Certificate Pinning）策略需随服务端证书轮换同步更新，否则上线即失败。
openssl s_client -connect your-domain.com:443 -servername your-domain.com | openssl x509 -fingerprint -nooutssl_certificatenginx -tssl_certificatessl_certificate_keyls -lopenssl x509 -in /path/to/cert.pem -text -noout | grep "Not After"nginx -s reloadopenssl s_client