启用Nginx OCSP装订需四步：一、确保SSL证书链完整（用fullchain.pem）；二、在server块启用ssl_stapling并配置resolver；三、OCSP指令不可置于location内；四、acme.sh部署时补全路径与DNS；最后用OpenSSL或浏览器验证。
如果您在Nginx上部署了ThinkPHP应用并已启用HTTPS，但SSL握手仍存在延迟或OCSP查询失败问题，则可能是OCSP装订功能未正确启用。以下是针对ThinkPHP运行环境配置Nginx OCSP装订的具体操作步骤：
一、确认ThinkPHP站点的SSL证书链完整性
OCSP装订依赖完整且可验证的证书链，若证书链缺失中间CA证书，ssl_stapling_verify将失败，导致装订被禁用。需确保nginx配置中引用的证书文件包含域名证书+全部中间证书（即fullchain.pem），而非仅域名证书。
1、访问myssl.com，输入您的ThinkPHP站点域名进行证书链检测。
2、若提示“证书链不完整”，点击“修复证书链”获取完整PEM格式证书链。
立即学习“PHP免费学习笔记（深入）”；
3、将修复后的完整证书链内容复制，替换宝塔面板或手动配置中ssl_certificate所指向的PEM文件内容。
4、确保ssl_trusted_certificate指令明确指向该完整证书链文件路径，此步骤为OCSP响应验证的必要前提。
二、在ThinkPHP站点Nginx配置中启用OCSP Stapling
Nginx需在server块内显式开启OCSP装订并指定可信DNS解析器，否则无法获取和缓存OCSP响应。resolver必须支持UDP查询且具备公网可达性，尤其对Let’s Encrypt等境外CA至关重要。
1、进入宝塔面板 → 网站 → 对应ThinkPHP站点 → 配置文件。
2、在#SSL-START与#SSL-END之间、ssl_certificate指令下方添加以下四行：
ssl_stapling on;
ssl_stapling_verify on;
resolver 8.8.8.8 114.114.114.114 223.5.5.5 valid=300s;
resolver_timeout 5s;
3、检查是否已存在ssl_trusted_certificate指令；若无，请补充：ssl_trusted_certificate /www/wwwroot/your-thinkphp-site/fullchain.pem;，路径必须与ssl_certificate一致或指向同一完整链文件。
三、适配ThinkPHP伪静态规则下的OCSP兼容性处理
ThinkPHP常用if (!-e $request_filename)重写规则，该逻辑可能干扰OCSP响应头传递。需确保TLS握手阶段的OCSP stapling数据不受location上下文限制，故所有OCSP相关指令必须置于server全局作用域，不可嵌套于location块内。
1、定位到Nginx配置中ThinkPHP的location /块，确认其中未出现ssl_stapling或resolver等指令。
2、检查location ~ \.php$块内是否误加了ssl_*指令；如有，立即删除并移至server顶层。
3、在server块末尾添加测试响应头以验证OCSP状态：add_header X-OCSP-Stapling $ssl_stapling;，重启后可通过curl -I https://domain.com查看响应头是否返回X-OCSP-Stapling: on。
四、使用acme.sh签发证书时的OCSP专用配置补全
若ThinkPHP站点使用acme.sh自动续期Let’s Encrypt证书，其默认证书路径不含完整链，且未自动配置OCSP所需resolver，需手动增强脚本与Nginx联动。
1、编辑acme.sh部署脚本，在证书重载后追加Nginx重载命令前插入：
cp /root/.acme.sh/your-domain.com/fullchain.cer /www/server/panel/vhost/cert/your-domain.com/fullchain.pem
2、修改Nginx配置中的ssl_certificate路径为/www/server/panel/vhost/cert/your-domain.com/fullchain.pem。
3、在server块中强制指定ssl_trusted_certificate为同一fullchain.pem路径，避免因acme.sh生成的cert.cer不含中间证书导致verify失败。
4、为应对Let’s Encrypt OCSP服务器DNS污染，在resolver中加入国内DNS如223.5.5.5，并设置valid=60s缩短缓存时间以提升响应新鲜度。
五、验证ThinkPHP站点OCSP装订生效状态
仅靠Nginx配置语法正确不能保证OCSP装订实际工作，必须通过客户端级工具验证服务器是否在TLS握手时真实发送了OCSP响应。
1、在服务器终端执行OpenSSL命令（替换your-domain.com为实际域名）：
openssl s_client -connect your-domain.com:443 -servername your-domain.com -status -tlsextdebug &1 | grep -i "OCSP response"
2、若输出含OCSP response: successful (0x0)，表示装订成功；若为no response sent，检查resolver连通性及防火墙UDP 53端口是否放行。
3、使用浏览器开发者工具→Security标签页，刷新页面后查看“Certificate”区域是否显示OCSP stapling: Yes，此为ThinkPHP前端用户实际受益的最终确认依据。
