贴一下自己新的摸索结果：
1 、nginx1.15.9+openssl 1.0.2 就开始支持证书路径使用变量配置，一旦使用了变量，ssl 证书的读取就交给 worker 进程（也就是这里的 nobody 用户），否则会由主进程读取（一般是 root 用户）；

2 、如果是 worker 进程读取，将会每次请求都去读，吞吐性能大概下降 4 成；

3 、root 是权限大王 ，所以它读取的时候可以无视文件配置，但如果是非 root 用户（假设就是这里的 nobody 用户）读取，就要遵循 linux 文件权限规则；

4 、上面失败的主要原因，是只关注了整个路径的“目录”和“文件”的 r 权限，实际需要对每一个“目录”增加 x 权限，才能给到相应的用户（或用户组所在用户）“找得到”，我理解为可当作对目录执行 ls 命令所以需要 x 权限；

5 、回到开始自己的需求，是希望在 nginx 配置中，可以对 ssl 证书的存放“目录前缀”进行统一设置，以便我更改 ssl 证书存放目录时，不需要对每个配置文件都一一修改，但奈何 nginx 的 ssl 路径的变量处理有点“激进”，目前能想到的只有依赖系统的 symbolic link 来实现。