HSTS强制浏览器仅通过HTTPS访问并防止降级攻击，OCSP Stapling由服务器主动提供证书吊销状态以提升速度与隐私；二者需协同配置：HSTS通过Strict-Transport-Security响应头实现，max-age≥31536000秒、含includeSubDomains和preload参数，并用always确保非200响应也发送；OCSP Stapling需启用ssl_stapling on与ssl_stapling_verify on，配合完整证书链和可靠DNS解析器。
HSTS 和 OCSP Stapling 是 HTTPS 安全加固中两个独立但互补的关键机制：HSTS 强制浏览器只走 HTTPS，防止协议降级和中间人劫持；OCSP Stapling 则让服务器主动提供证书吊销状态，避免客户端直连 CA 查询，既提速又防隐私泄露。两者配合使用，能显著提升 TLS 通信的完整性与可信度。
启用 HSTS 的核心配置
HSTS 通过响应头 Strict-Transport-Security 告诉浏览器“未来一段时间内，只允许用 HTTPS 访问该域名及所有子域”。必须在 HTTPS server 块中配置，且仅对加密连接生效：
- add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always; —— max-age 设为 1 年（31536000 秒），includeSubDomains 覆盖所有子域名，preload 表示申请加入浏览器预加载列表（需后续提交至 Chromium HSTS Preload List）
- always 参数很关键：确保即使返回 301/403/500 等非 200 响应，HSTS 头依然发送，防止被错误响应绕过
- 切勿在 HTTP server 块中加此头——浏览器会直接忽略
配置 OCSP Stapling 的必要条件
OCSP Stapling 不是开个开关就行，它依赖准确的证书链、可访问的 DNS 和可信的 CA 根证书：
- ssl_stapling on; 和 ssl_stapling_verify on; 必须同时启用，后者要求验证 OCSP 响应签名有效性
- ssl_trusted_certificate /etc/nginx/ssl/ca-bundle.pem; —— 必须是包含根证书 + 所有中间证书的完整 PEM 文件（不能只放 server.crt），OpenSSL 可用 openssl verify -CAfile ca-bundle.pem fullchain.pem 验证链是否可信
- resolver 8.8.8.8 1.1.1.1 valid=300s; —— 指定 DNS 解析器，Nginx 用它查 OCSP 响应器地址；valid=300s 控制 DNS 缓存时效，避免因 DNS 变更导致 stapling 失败
二者协同工作的注意事项
HSTS 和 OCSP Stapling 共同运行时，需注意几个易错点：
- OCSP Stapling 启动需要首次握手后缓存响应，新部署后可能前几次请求不带 OCSP 数据，但不影响 HSTS 生效
- 若 ssl_stapling_verify on 开启但 ssl_trusted_certificate 路径错误或证书链不全，Nginx 会静默禁用 stapling（日志中报 "no suitable OCSP responder URLs found"），务必检查 error_log
- HSTS 的 preload 要求站点满足：全站 HTTPS、响应头含 includeSubDomains、max-age ≥ 31536000、且 301 重定向到 HTTPS 的 443 端口——缺一不可才能被浏览器接受预加载
- 建议搭配 ssl_protocols TLSv1.2 TLSv1.3; 和现代 cipher 套件，避免因协议或算法老旧导致 stapling 或 HSTS 在部分客户端失效
