SSL Session Tickets 安全高效复用的关键是多密钥+定期轮转机制：Nginx 按配置顺序读取最多10个密钥，首密钥加密新票据，全部密钥均可解密旧票据；密钥须为48字节二进制文件，新增密钥必须置顶添加，配合 cron 脚本实现零中断自动轮转与审计归档。

要让 ssl_session_tickets 既高效复用又安全，关键不是“禁用”或“长期固定”，而是用多密钥+定期轮转机制控制暴露窗口。Nginx 本身不自动轮转，但能通过配置顺序和外部脚本实现准自动化、零中断的密钥演进。

明确密钥轮转的核心规则

Nginx 加载 ssl_session_ticket_key 指令时按配置顺序读取，最多支持 10 个：

• 只有第一个密钥用于加密新票据（即客户端下次连接收到的票据）
• 所有已列出的密钥都可用于解密入站票据（含已分发但未过期的旧票据）
• 每个密钥文件必须是严格 48 字节的二进制数据，不可用文本、hex 或 base64 替代
• 新增密钥必须加在配置最前面（置顶），不能覆盖或替换旧文件，否则旧票据立即失效

生成与管理合规密钥文件

每次轮转前生成新密钥，并确保路径清晰、权限严格：

Browser Session Manager

使用 Playwright 为 jimeng.jianying.com 管理浏览器会话，导入 cookies/localStorage 以自动化视频生成工作流，支持图片上传等功能

下载

• 生成命令：openssl rand 48 > /etc/nginx/ticket.key.v$(date -d 'next month' +\%Y\%m01)
• 密钥文件属主设为 nginx 运行用户（如 www-data），权限为 0400
• 建议保留最近 3–4 个密钥，覆盖典型票据生命周期（OpenSSL 默认 lifetime_hint 约 4 小时，实际建议保留 24–72 小时以应对服务重启、灰度发布等场景）

配置多密钥并实现周期性更新

在 http 或 server 块中按时间倒序声明密钥（最新在前）：

示例配置：

ssl_session_tickets on;<br>
ssl_session_ticket_key /etc/nginx/ticket.key.v20260501; # 当前主密钥<br>
ssl_session_ticket_key /etc/nginx/ticket.key.v20260401; # 上月密钥<br>
ssl_session_ticket_key /etc/nginx/ticket.key.v20260301; # 更早密钥

轮转操作只需三步：

• 生成新密钥文件（如 /etc/nginx/ticket.key.v20260601）
• 用 sed -i '1i ssl_session_ticket_key /etc/nginx/ticket.key.v20260601;' nginx.conf 插入首行
• 执行 nginx -s reload（Nginx 1.9.2+ 支持热重载，无需 full restart）

用 cron + 脚本实现准自动轮转

每月 1 日凌晨 2 点自动完成密钥生成与配置更新：

• 脚本中加入校验：检查新密钥是否为 48 字节、路径是否存在、配置语法是否正确（nginx -t）
• 记录日志：写入轮转时间、新密钥 SHA256 摘要，便于审计追踪
• 旧密钥不立即删除，可归档到 /etc/nginx/tickets/archive/，按策略保留 7 天后清理