Nginx 场景：只有 .crt 证书文件，能生成对应私钥吗？

答案：不能——证书是 CA 对 CSR（内含公钥）的签名产物，私钥由申请者或密钥管理设施生成，也可能保存在授权备份或硬件中，但无法从公开证书推导；能从证书算出私钥，HTTPS 的信任体系就垮了。Nginx 启动 TLS 必须同时具备证书与配对私钥**，缺私钥只能：找到它，或重新签发。**

找回私钥的常见位置

ls /etc/ssl/private/                          # Debian/Ubuntu 惯例
ls /etc/pki/tls/private/                      # RHEL/CentOS 惯例
sudo find / -name "*.key" 2>/dev/null         # 全盘搜
sudo find / -name "privkey.pem" 2>/dev/null   # Let's Encrypt 风格

别忘了：申请证书的那台机器、当时的 shell 历史（history | grep openssl 可能暴露生成路径）、备份归档。

验证私钥与证书配对

openssl x509 -in server.crt -pubkey -noout -out cert-public.pem &&
openssl pkey -in server.key -pubout -out key-public.pem &&
openssl pkey -pubin -in cert-public.pem -outform DER -out cert-public.der &&
openssl pkey -pubin -in key-public.pem -outform DER -out key-public.der &&
openssl dgst -sha256 cert-public.der key-public.der
# 每步成功后才比较公钥摘要；适用于 RSA、EC 等，不把失败的空摘要误当匹配

找不到就重签

umask 077
openssl req -new -newkey rsa:2048 -nodes \
  -keyout server.key -out server.csr -subj "/CN=example.com" \
  -addext "subjectAltName=DNS:example.com"
# server.csr 提交 CA 重签；Let's Encrypt 直接重新跑 certbot
certbot --nginx -d example.com

Nginx 配置与校验

server {
    listen 443 ssl;
    ssl_certificate     /etc/nginx/ssl/server.crt;   # 建议用 fullchain（含中间证书）
    ssl_certificate_key /etc/nginx/ssl/server.key;   # 限制读取权限，并让实际启动服务的受控身份可读
}

sudo nginx -t && sudo systemctl reload nginx

nginx -t 会直接告诉你 key 与证书不配对（key values mismatch）。

常见问题（FAQ）

Q：fullchain.pem 和 cert.crt 有什么区别？
A：fullchain = 服务器证书 + 中间证书链。用只有站点证书的 crt 可能导致部分客户端（尤其 Android 老版本）报不受信，优先用 fullchain。

Q：pfx/p12 里能拆出私钥吗？
A：能：openssl pkcs12 -in cert.pfx -nocerts -nodes -out server.key。

Q：私钥丢了旧证书还能用吗？
A：在任何还存有配对私钥的机器上旧证书照常可用；所有配对私钥均不可用时无法继续用它建立服务端 TLS，但证书不会自动被吊销；若可能泄露，应生成新密钥重签并按 CA 流程吊销旧证。