Nginx启用TLS 1.3的0-RTT需四者齐备：OpenSSL≥1.1.1（编译与运行时均验证）、server块中配置ssl_protocols TLSv1.2 TLSv1.3、仅TLS 1.3套件、会话复用及ssl_early_data on，且客户端缓存PSK、后端识别Early-Data并安全处理幂等性。
Linux 下 Nginx 配置 TLS 1.3 的 0-RTT（Early Data）不是加一行 ssl_early_data on 就能生效的，它需要底层支持、精准配置、客户端状态配合和后端安全响应四者齐备。只配对一半，要么静默失效，要么埋下重放风险。
确认运行环境真实就绪
版本达标只是起点，必须验证“编译时链接”和“运行时加载”的 OpenSSL 是否都 ≥ 1.1.1（如 1.1.1w 或 3.0.x）：
- 执行
nginx -V 2>&1 | grep -i openssl，查看 configure 参数中--with-openssl=指向路径；进入该路径运行./bin/openssl version，输出必须是 1.1.1w 或更高 - 执行
ldd $(which nginx) | grep ssl，确认实际加载的libssl.so版本；再用openssl version核对是否一致 - 运行
openssl ciphers -v 'TLSv1.3'，输出中必须包含TLS_AES_256_GCM_SHA384、TLS_CHACHA20_POLY1305_SHA256、TLS_AES_128_GCM_SHA256这三条原生套件 - Nginx 推荐 ≥ 1.19.0（1.15.5 是最低要求，但存在稳定性问题）
server 块内精准配置协议与会话机制
所有配置必须写在具体 HTTPS 的 server 块中，全局设置无效：
-
ssl_protocols TLSv1.2 TLSv1.3;—— TLSv1.2 不可省，它是 PSK 协商基础和兼容兜底 -
ssl_ciphers 'TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_128_GCM_SHA256';—— 只列 TLS 1.3 原生套件，禁用任何 TLS 1.2 套件（如ECDHE-RSA-AES256-SHA） -
ssl_session_cache shared:SSL:10m;和ssl_session_timeout 4h;—— 启用共享会话缓存，保障 PSK 可生成与恢复 -
ssl_session_tickets on;—— 建议与 session cache 同时开启，增强 PSK 兼容性 -
ssl_conf_command Options -PrioritizeChaCha;—— 提升移动端 0-RTT 成功率 -
ssl_early_data on;—— 必须放在该server块末尾附近，紧邻其他ssl_*指令
让客户端真正触发 0-RTT 请求
服务端全配对，不代表每次请求都走 0-RTT。它依赖客户端本地状态和网络链路：
- 用户需已访问过该域名至少一次，且未清空浏览器缓存或退出隐私模式（PSK 缓存在本地）
- 请求必须复用相同 ALPN（如
h2或http/1.1）、相同 SNI 域名、相同签名参数 - CDN 或中间代理必须透传
early_dataTLS 扩展，否则握手会降级为 1-RTT - Chrome 72+、Firefox 76+、Safari 15.4+ 默认开启，但部分企业网络策略可能禁用
后端必须识别并安全处理 Early-Data
Nginx 不做校验，只负责传递标识。若后端不响应、不拦截，0-RTT 就成了重放攻击的直通通道：
- 若用
proxy_pass：添加proxy_set_header Early-Data $ssl_early_data; - 若用 FastCGI（如 PHP）：添加
fastcgi_param TLS_EARLY_DATA $ssl_early_data; - 后端收到
Early-Data: 1头后，必须区分处理：
✓ 允许幂等操作（如GET /static/logo.png、GET /api/config）直接响应
✗ 禁止非幂等操作（如POST /login、PUT /profile），应返回425 Too Early强制降级重发
✗ 若业务强依赖 0-RTT 写操作，必须叠加一次性 token + 时间窗口（≤5 秒）+ 请求指纹三重防护
安全评估要点与常见误用
0-RTT 的“快”本质是信任预支，其代价清晰可见：
- 重放窗口 = PSK 有效期（Nginx 默认 48 小时，可通过
ssl_session_timeout调整） - 早期数据不具备前向保密性——若服务器长期 PSK 密钥泄露，历史通信可被批量解密
- 切勿在 0-RTT 中处理任何带副作用的操作，Nginx 不会自动拒绝重放，必须靠应用层闭环防御
- CDN 或中间代理若不识别
Early-Data头，可能错误缓存 0-RTT 响应，造成内容错乱 - HTTP/2 下 0-RTT 效果更明显；HTTP/1.1 因队头阻塞，收益有限
