ssl_stapling 是 Nginx 的 HTTPS 性能优化机制，通过在 TLS 握手时由服务器主动装订 OCSP 响应，避免浏览器额外查询，降低 150–300ms 延迟；启用需满足版本、证书扩展、时间同步、完整证书链及显式 resolver 等硬性条件。
Nginx 的 ssl_stapling 通过在 TLS 握手阶段主动把证书吊销状态（OCSP 响应）“装订”进 ServerHello 消息，让客户端无需再单独发起一次网络请求去查询 CA 的 OCSP 服务器。这直接省掉了 DNS 查询、TCP 连接、HTTP 请求和响应等待等环节，通常可减少 150–300ms 的首次握手延迟，对移动端、弱网或高延迟链路效果尤其明显。
核心提速逻辑很直接：
原本客户端要自己查 OCSP → 现在 Nginx 提前查好、验证好、缓存好，握手时顺手带上 → 客户端跳过这一步，直接完成证书校验。
必须同时满足的硬性前提
缺任何一项，`ssl_stapling` 都会静默失效（Nginx 不报错，但实际不工作）：
-
证书含有效 OCSP 地址：证书需有
authorityInfoAccess扩展，内嵌类似OCSP - URI:http://ocsp.int-x3.letsencrypt.org的地址。用命令验证：openssl x509 -in your.crt -text -noout | grep -A1 "OCSP" - Nginx 和 OpenSSL 版本达标：Nginx ≥ 1.3.7（生产建议 ≥ 1.11.0），OpenSSL ≥ 1.0.1（推荐 1.1.1+）
- 系统时间准确：偏差不能超过 ±5 分钟，否则 OCSP 响应中的有效期校验失败
-
证书链完整：要么
ssl_certificate指向包含站点证书 + 中间证书的文件（如 Let’s Encrypt 的fullchain.pem），要么用ssl_trusted_certificate单独指定可信链
server 块中必需的配置项
这些指令必须全部写入监听 443 的 server 块内（不能只放 http 块顶层）：
-
ssl_stapling on;—— 显式开启，默认是off -
ssl_stapling_verify on;—— 强制校验 OCSP 响应签名、颁发者和有效期，防伪造或过期数据 -
ssl_trusted_certificate /path/to/fullchain.pem;—— 指向根证书 + 所有中间证书的 PEM 文件（顺序：中间证书在前，根证书在后；不是你的站点证书） -
resolver 8.8.8.8 1.1.1.1 223.5.5.5 valid=300s;—— 必须显式配置 DNS 解析器（Nginx 不读/etc/resolv.conf），多个 DNS 提升容错性 -
resolver_timeout 5s;—— 避免 DNS 查询卡住整个 TLS 握手
移动端与容错增强要点
移动网络更易受 DNS 波动、连接中断影响，配置需更稳健：
- DNS 至少配两个不同来源（例如
114.114.114.114+223.5.5.5），避免单点解析失败导致 stapling 失效 - 慎用 IPv6 DNS（如
[2001:4860:4860::8888]），除非确认全链路 IPv6 可靠，否则 AAAA 查询可能拖慢握手 - 搭配会话复用可进一步提速：
ssl_session_cache shared:SSL:10m;ssl_session_timeout 4h; - 若使用私有 CA 或内网 OCSP 地址，
resolver必须指向能解析该域名的内网 DNS（如 CoreDNS），公网 DNS 无效
验证是否真正生效
别只看配置写了没，要用实际连接确认：
- 执行：
openssl s_client -connect example.com:443 -servername example.com -tlsextdebug -status - 成功时输出中会出现：
OCSP Response Status: successful (0x0) - 若看到
OCSP response: no response sent或超时提示，说明 stapling 未启用，需回溯检查上述任一环节
