必须在http块顶层配置ssl_session_cache shared:SSL:10m并启用ssl_session_tickets on，通过共享内存与票据机制实现跨worker会话复用，避免重复非对称加密，达成1-RTT/0-RTT握手。
直接在 http 块配置 ssl_session_cache shared:SSL:10m，并启用 ssl_session_tickets on，就能让大多数连接跳过非对称加密运算，实现 1-RTT 或 0-RTT 握手。核心不是“事件循环”本身复用会话，而是 Nginx 多 worker 进程通过共享内存协同复用 TLS 会话状态，从而避免每次握手都执行 RSA 解密或 ECDHE 密钥交换。
必须用 shared 缓存，不能只写在 server 块里
builtin 缓存每个 worker 独有一份，请求落到不同 worker 就无法复用，高并发下命中率趋近于零。shared 缓存是跨进程共享的内存区，所有 worker 都能读写同一份会话数据：
- 在
nginx.conf的http { }块顶层添加：ssl_session_cache shared:SSL:10m; - 10MB 可存约 4–8 万个会话（按平均 2KB/会话估算）；若峰值连接超 5 万，建议调至 20m
- 不要写在
server { }内——那样只是该虚拟主机私有的、无法跨 worker 共享的“假 shared”
搭配 session tickets 实现无状态复用
仅靠服务端缓存（session ID）仍需查表、占内存、依赖客户端不丢 ID。session tickets 把加密后的会话状态交给客户端携带，Nginx 只需本地解密即可恢复，彻底卸载服务端状态压力：
- 开启：
ssl_session_tickets on; - 指定密钥文件：
ssl_session_ticket_key /etc/nginx/ssl/ticket.key; - 密钥必须是二进制文件，推荐 48 字节：
openssl rand 48 > /etc/nginx/ssl/ticket.key - 密钥建议每月轮换一次，新增密钥加在配置最前面，旧密钥保留在后用于解密存量票据
设合理的超时时间，匹配真实连接行为
ssl_session_timeout 控制服务端缓存条目的保留时长，它不强制客户端复用，但设得太短会让高频短连接（如 API、前端资源）几乎无法命中：
- 默认 5 分钟太短，实测对多数场景无效
- 网页类访问（含刷新、标签切换）：设为
10m～30m - 移动端 App 或后台保活连接：推荐
2h～4h - 健康检查或爬虫类短连接：可设为
2m，避免缓存膨胀
验证是否真正生效
配置加载成功 ≠ 复用发生。要确认实际握手是否复用，可用 OpenSSL 快速测试：
- 执行：
openssl s_client -connect example.com:443 -reconnect -servername example.com 2>/dev/null | grep "Reused\|Session-ID" - 若输出中出现
Reused, SSL handshake has read ...，且多次执行 Session-ID 相同，则说明命中 - 也可用
nginx -T | grep ssl_session_cache确认配置已加载到 http 块顶层
