Nginx 无内置图形化性能分析工具，需结合系统观测、stub_status/ssl模块指标、SSL日志字段及CPU算法测试来定位HTTPS瓶颈，重点优化TLS握手延迟、CPU密钥计算与会话复用效率。
Nginx 本身不内置图形化性能分析工具，但可通过组合系统级观测、Nginx 自带模块与轻量日志分析，精准定位 HTTPS 性能瓶颈。优化重点不在“看数据”，而在于识别 TLS 握手延迟、CPU 密钥计算压力、会话复用失效等真实问题。
启用并解析 Nginx 内置连接与 SSL 指标
Nginx 的 stub_status 模块和 ssl 模块可暴露关键实时指标：
- 开启
ngx_http_stub_status_module（编译时默认启用），在 server 块中配置：location /nginx-status { stub_status on; allow 127.0.0.1; deny all; }访问该地址可看到
Active connections、accepts/handled/requests三元组，若handled < accepts，说明握手失败或连接被重置，需检查证书链或 TLS 协议兼容性。 - 启用
ssl_preread模块（需stream上下文）可提前获取客户端 TLS 版本与 SNI，用于日志标记或路由决策，避免 HTTP 层才解析带来的延迟。 - 在
log_format中加入$ssl_protocol、$ssl_cipher、$request_time、$upstream_response_time，例如：log_format ssl_perf '$remote_addr - $remote_user [$time_local] ' '"$request" $status $body_bytes_sent ' '$ssl_protocol/$ssl_cipher $request_time $upstream_response_time';日志中若大量出现
TLSv1.2+RSA+ 高request_time，说明旧客户端正在触发非前向保密的慢密钥交换。
定位 TLS 握手 CPU 瓶颈与算法效率
HTTPS 性能卡点常集中在 CPU 解密与密钥协商环节，尤其在多核场景下未合理绑定时：
- 使用
htop或pidstat -u -p $(pgrep nginx) 1观察 worker 进程 CPU 占用是否不均衡；若单核持续 90%+ 而其他核闲置，说明未启用worker_cpu_affinity auto。 - 通过
openssl speed ecdhp256和openssl speed rsa2048对比本地 CPU 的 ECC 与 RSA 加解密吞吐，若ecdhp256显著更快（通常快 3–5 倍），应优先在ssl_ciphers中靠前放置ECDHE-*套件，并确保ssl_prefer_server_ciphers on生效。 - 若日志中
TLSv1.3请求占比低，但服务器支持，可能因客户端未发起supported_groups扩展导致降级——此时需确认 OpenSSL 版本 ≥1.1.1f 且 Nginx ≥1.17.0，并在配置中显式启用：ssl_protocols TLSv1.2 TLSv1.3; ssl_conf_command Options "UnsafeLegacyRenegotiation";
验证会话复用实际生效率
会话缓存失效是首字节时间（TTFB）升高的常见原因：
- 检查
ssl_session_cache shared:SSL:20m是否足够：每万并发约需 2–3MB 缓存空间，20MB 可支撑 5–8 万连接。可用nginx -T | grep ssl_session_cache确认加载生效。 - 用
curl -vI https://yoursite.com 2>&1 | grep "reused"查看单次请求是否复用会话；批量测试时，用ab -n 1000 -c 100 https://yoursite.com/并观察SSL session cache hits计数器（需开启stub_status）。若命中率低于 70%，检查ssl_session_timeout是否过短（建议设为4h），或是否存在跨 worker 进程的负载不均（如使用 IP hash 导致某些 worker 独占流量）。 - Session Tickets 若启用（
ssl_session_tickets on），需注意密钥轮换：ssl_session_ticket_key文件应定期更新（如每周），否则长期不变会削弱前向保密性。
HTTP/2 与传输层协同调优
HTTP/2 提速效果依赖底层 TLS 配置：
- 必须在
listen 443 ssl http2;中显式声明http2，且 Nginx ≥1.9.5、OpenSSL ≥1.0.2。仅配置http2不启用ssl将直接失败。 - 关闭
http2_max_field_size和http2_max_header_size默认值（4KB/16KB）对移动端小包更友好，但若业务含长 Cookie 或 JWT，需适当调大，避免HTTP/2 431 Request Header Fields Too Large错误。 - 启用
http2_push仅适用于静态资源明确、变化少的场景（如首页 CSS/JS），动态内容推送反而增加首包延迟，不建议全局开启。
不复杂但容易忽略。
