先确认现象#

先用浏览器或 openssl 看证书到期时间，再检查证书文件路径和 Nginx 配置是否一致。证书更新后还要 reload Nginx，不然进程可能仍然使用旧证书。

我会保留一条修复前命令，证明问题确实存在。这样修复后才能对比，而不是凭感觉判断。

排查命令#

1
echo | openssl s_client -servername blog.tjcheng.cn -connect blog.tjcheng.cn:443 2>/dev/null | openssl x509 -noout -dates
2
nginx -t
3
systemctl reload nginx

处理原则#

• 涉及服务器时，先备份配置或确认回滚方式。
• 涉及进程时，先判断它是不是线上服务。
• 涉及删除时，先用 du、ls、日志确认对象。
• 修完后必须做业务层验证，不只看报错消失。

复盘记录#

复盘记录里应该写清域名、证书路径、续签方式和 reload 时间。证书问题适合提前监控，不适合等用户反馈。

最小验收样例#

我会记录修复前后的两条命令输出。比如端口问题就保存监听状态，权限问题就保存文件权限，服务问题就保存状态和日志。没有对比证据，就很难说明问题确实被解决。

如果操作发生在服务器上，还要写明当前用户、工作目录和影响范围。排查文章不是命令收藏夹，而是下一次可以照着走的现场记录。

小结#

Nginx 证书过期排查 不是记一个命令，而是记一条排查链路。现象、命令、输出、验证都留下，下次才不用重新猜。