不能用SSLCARevocationCheck校验服务器证书吊销状态，该指令仅用于客户端证书双向TLS验证；应配置SSLUseStapling、完整证书链和OCSP缓存实现服务器证书OCSP Stapling。
不能在虚拟主机配置中用 sslcarevocationcheck 开启 ocsp 实时校验——这个指令和目的完全不匹配。
SSLCARevocationCheck 是用于客户端证书吊销检查的指令，仅在启用双向 TLS（即 SSLVerifyClient require）时生效，且它控制的是对客户端证书（或整个链）是否查 CRL/OCSP，不是用来校验你自己的服务器证书是否被吊销的。
而你真正想做的“对服务器证书做 OCSP 实时状态校验”，Apache 中对应的功能叫 OCSP Stapling，它由以下三个配置协同实现：
SSLUseStapling on
启用 stapling 功能，让 Apache 主动向 CA 的 OCSP 响应器发起查询并缓存响应SSLCertificateChainFile /path/to/fullchain.pem
必须提供完整中间证书链（不含根证书），否则 OpenSSL 无法验证 OCSP 响应签名SSLStaplingCache "shmcb:/var/run/apache2/stapling-cache(128000)"
指定共享内存缓存位置，必须可写；否则每次握手都重新查 OCSP，易超时失败
还要注意两个关键前提：
Apache ≥ 2.4.37 时，需额外加上：
SSLUseStaplingWhenClientProvidesBuffer on
否则 TLS 1.3 客户端不会发送 OCSP 请求扩展，stapling 不会触发你的证书必须包含有效的 AIA（Authority Information Access）扩展，其中含 OCSP URL
可用命令验证：openssl x509 -in your_cert.pem -text -noout | grep -A1 "OCSP"
至于 SSLCARevocationCheck，它只在如下场景起作用：
- 配了
SSLVerifyClient require - 同时配了
SSLCACertificateFile或SSLCACertificatePath - 值设为
chain或leaf（不是on/off） - 此时它会影响客户端证书的吊销检查方式，与你的 HTTPS 网站证书无关
所以，别在虚拟主机里写 SSLCARevocationCheck 试图校验自己证书——它不会生效，还会误导排查方向。
专注配好 SSLUseStapling、证书链和缓存，才是让浏览器实时看到“Certificate Status: Good”的正路。
