Nginx 没有 proxy_ssl_crl 指令；其后端证书吊销校验仅支持通过 proxy_ssl_verify on 配合 proxy_ssl_trusted_certificate 等指令验证后端主动提供的 OCSP Stapling 响应，不支持代理层主动查询 CRL。
Nginx 没有 proxy_ssl_crl 这个指令。这是常见误解——官方文档和源码中均不存在该配置项。
你真正需要的，是让 Nginx 在反向代理时校验后端 HTTPS 服务器证书是否被吊销。但要注意：
Nginx 不支持对后端证书直接使用 CRL 文件进行吊销检查（即没有类似 ssl_crl 那样作用于客户端证书的 proxy_ssl_crl 对应物）。
它对后端证书的吊销状态验证，只支持 OCSP Stapling 的响应校验方式，且必须由后端服务器主动提供 OCSP 响应（通过 TLS 握手时的 stapling），Nginx 仅负责验证该响应的有效性。
✅ 正确路径：用 proxy_ssl_trusted_certificate + OCSP 校验（间接实现吊销拦截）
要达成“实时拦截被吊销的后端证书”，需满足两个前提：
- 后端服务器自身已启用 OCSP Stapling（如 Nginx、Apache 或 Envoy 等），并在其证书响应中附带有效 OCSP 签名结果；
- Nginx 作为代理，配置为校验该 OCSP 响应（而非自己去查 CRL 或发起 OCSP 请求）。
必须配置的四项核心指令（缺一不可）
proxy_ssl_verify on;
启用对后端证书的完整校验（签名、链、有效期、OCSP 响应）。proxy_ssl_trusted_certificate /path/to/ca-bundle.pem;
提供可信根 CA 和中间 CA 证书（PEM 格式），用于验证后端证书链 以及 OCSP 响应签名。proxy_ssl_name "backend.example.com";
显式指定期望的后端域名，匹配证书 SAN；若proxy_pass用 IP 或变量，此项不可省。proxy_ssl_server_name on;
启用 SNI，确保后端能返回对应域名的正确证书及 stapled OCSP 响应。
补充增强项（提升吊销拦截可靠性）
proxy_ssl_verify_depth 3;
确保能验证完整证书链（终端 → 中间 CA → 根 CA），避免因深度不足导致 OCSP 响应无法被信任。proxy_ssl_protocols TLSv1.2 TLSv1.3;
禁用老旧协议，防止握手阶段被降级绕过 OCSP 校验逻辑。proxy_ssl_session_reuse off;
关闭 TLS session 复用，避免缓存旧的、可能已失效的 OCSP 响应状态。
❌ 为什么不能用 CRL 拦截后端证书？
-
ssl_crl指令只作用于客户端证书双向认证场景（配合ssl_verify_client on），与proxy_pass后端校验完全无关。 - Nginx 不提供
proxy_ssl_crl、proxy_ssl_ocsp或任何自动下载/解析 CRL 的能力。 - 若后端证书被吊销但未启用 OCSP Stapling，Nginx 无法感知该吊销状态，只会校验有效期和签名链——此时吊销即失效。
? 如何确认后端是否支持 OCSP Stapling？
在命令行模拟 Nginx 的行为：
openssl s_client -connect backend.example.com:443 -servername backend.example.com -status -tlsextdebug
若输出中包含 OCSP response: 且状态为 successful, cert status: good，说明后端已正确 stapling。
再用以下命令验证 OCSP 响应是否可被你的 proxy_ssl_trusted_certificate 验证：
openssl ocsp -VAfile /path/to/ca-bundle.pem -issuer ca-bundle.pem -cert backend.crt -url http://ocsp.example-ca.com
（注意：此步是调试用，Nginx 实际运行时不走该 URL，而是用 stapled 响应）
⚠️ 注意事项
- 后端时间必须与 Nginx 服务器时间偏差 ≤ 5 分钟，否则 OCSP 响应会被判定为过期。
-
proxy_ssl_trusted_certificate文件中不能包含私钥或终端证书，只放根 CA 和中间 CA。 - 所有
proxy_ssl_*指令必须写在location或upstream块内，全局配置无效。 - 修改后务必
nginx -t && nginx -s reload，并检查 error log 中是否有SSL certificate verify error类报错。
不复杂但容易忽略：Nginx 对后端证书的吊销感知，依赖的是后端是否“主动告知”，而不是代理层主动查询。所以关键不在 Nginx 配什么，而在于后端有没有把 OCSP 响应装订好。
