X25519是当前最优椭圆曲线，配置ssl_ecdh_curve X25519:secp384r1:secp256r1可显著降低TLS握手延迟；需OpenSSL 1.1.1+支持，配合TLS 1.3和客户端优选套件协同生效。
直接把 ssl_ecdh_curve 设为 X25519，是当前最简单、最有效的椭圆曲线参数优化方式。它不依赖硬件升级，也不需要改协议版本，只要 Nginx（或兼容服务器）支持 OpenSSL 1.1.1+，就能立刻生效，显著降低 TLS 握手延迟。
为什么 X25519 是首选
X25519 不是“又一种曲线”，而是目前综合表现最优的密钥交换实现：
- 计算快：基于 Montgomery 曲线结构，标量乘法比传统 NIST 曲线（如 secp256r1）快 2–3 倍，且全程恒定时间，抗时序攻击
- 安全强：提供 128 位安全强度，参数公开无专利，经多年实战检验
- 兼容好：TLS 1.3 强制要求支持 X25519，主流浏览器和移动设备（Android 7.0+、iOS 10+）均原生支持
在 Nginx 中正确配置 ssl\_ecdh\_curve
关键不是“加进去”，而是“只留必要项+顺序明确”：
- 配置示例：
ssl_ecdh_curve X25519:secp384r1:secp256r1; - 务必把 X25519 放在最前面——客户端优先协商该曲线，避免回退到慢曲线
- 建议最多保留 2–3 条备用曲线（如 secp384r1 用于老安卓，secp256r1 用于极少数旧 Windows），避免列表过长增加协商开销
- 禁用已知薄弱曲线，例如
prime256v1（即 secp256r1 的别名）若非必须，不建议放在首位；绝对不要包含sect*或brainpool*等低效或冷门曲线
配合其他 TLS 1.3 基础优化才真正见效
单靠曲线优化不能孤立起效，需与以下设置协同：
- 启用 TLS 1.3：
ssl_protocols TLSv1.2 TLSv1.3;（TLS 1.3 自动使用 ECDHE+X25519，且省去 ServerKeyExchange 步骤） - 关闭不必要功能：
ssl_prefer_server_ciphers off;（让客户端决定最优 cipher suite，现代客户端会优先选带 X25519 的套件） - 确保私钥为 ECDSA 或 RSA（X25519 仅用于密钥交换，不影响证书签名算法）
- 验证是否生效：用
openssl s_client -connect example.com:443 -tls1_3查看Server Temp Key是否显示X25519, 253 bits
移动端和 IoT 设备特别受益
手机、智能终端等资源受限设备对计算延迟更敏感：
- X25519 的恒定时间运算大幅降低 CPU 占用，减少发热与耗电
- 握手耗时可比 secp256r1 缩短 30–50%，在弱网或低端芯片上效果更明显
- 部分嵌入式 TLS 库（如 Mbed TLS、WolfSSL）对 X25519 有专门汇编优化，启用后性能提升更显著
