标杆徐Linux微课堂: Nginx Https生产环境部署实践

这门课解决什么问题

很多后端和运维同事第一次把网站上线到公网时，都会卡在同一个地方：Nginx 配好了，HTTP 能访问，但一上 HTTPS 就报红锁、提示不安全，或者证书签下来不知道怎么挂上去、要不要做全站强制跳转、后端还有一层 Tomcat 或 Node 又该怎么配合。这门课就是专门拆解 Nginx 上 HTTPS 生产部署这条线：前一小节把 HTTPS 的对称加密、非对称加密、证书颁发流程、TLS 握手过程过一遍，让你知道“为什么这么配”；后一小节直接落到 Nginx 配置 HTTPS、单向认证、全栈 HTTPS（即浏览器到 Nginx 是 HTTPS，Nginx 到上游应用也强制 HTTPS），再用模拟银行场景做一次完整演练，把证书生成、Nginx 配置、强制跳转、HSTS 这些生产里会用到的点串起来。

适合什么基础，建议先看哪几节

这门课定位偏“小而专”，不是从零讲 Web 基础，所以更适合已经有一点 Linux 和 Nginx 使用经验的人：会基本的 vim 编辑、看懂 nginx.conf 大致结构、用过 systemctl status nginx 这类命令，知道 443 端口是干嘛的。如果完全没有 Nginx 经验，建议先把 Nginx 反向代理和 upstream 配法摸熟，再来看这门课，吸收会顺畅很多。

课程内容按两大块切分。前 1-1 到 1-6 是基础铺垫，讲 HTTPS 概念、对称和非对称加密的分工、证书从申请到签发的完整链路，以及 TLS 握手时浏览器与服务器到底交换了什么。这部分别跳过，尤其是 1-4 证书颁发流程和 1-5 TLS 通讯流程图解，理解之后再看 nginx 里 ssl_certificate 和 ssl_certificate_key 才会知道每一行配置对应握手哪一步。

第二块 2-1 之后是核心。2-1 是 Nginx 上 HTTPS 的最小可用配置，2-2 和 2-3 讲全栈 HTTPS，也就是浏览器到 Nginx、Nginx 到上游都要加密，这种结构在真实生产环境更常见。2-4 模拟银行场景把前面提到的点综合应用一次，建议完整跟做一遍。

学完能独立做什么，资料怎么配合练习

完整跟下来，你能在没有现成教程的情况下，独立完成一次生产级 HTTPS 部署：自己生成 CSR 和私钥、向 CA 申请或签发证书、在 Nginx 里挂上证书、配置 443 端口、设置 HTTP 到 HTTPS 的 301 跳转、补全 TLS 版本和加密套件、打开 HSTS、让上游应用也走加密链路。遇到报错时，也能从握手日志里判断是证书链不全、协议版本不匹配，还是上游转发层丢了头信息，而不是只会照搬别人博客的配置片段。

练习建议搭一套最小环境：一台 Linux 虚拟机装 Nginx，再起一个简单的后端服务（Node、Tomcat 都行）。先按 2-1 的步骤跑通单向 HTTPS，再用 openssl 自签一张证书模拟 CA，把全栈 HTTPS 那节复刻一遍。课程里模拟银行的场景是用来练手的参考思路，建议照着思路自己换一个业务场景重新做一次，比如电商登录页、后台管理接口，把证书轮换、强制跳转、HSTS 这些点都覆盖到，才算真的把生产部署这件事吃下来。