怎么配置 ssl_ecdh_curve 通过椭圆曲线密码学算法提升 HTTPS 握手安全性与效率

X25519:prime256v1是当前最稳妥配置，X25519提供高性能与强安全性，prime256v1保障旧设备兼容；需OpenSSL 1.1.0+、Nginx 1.11.0+支持，并配合TLSv1.2+、会话复用、OCSP Stapling等协同优化才能生效。

直接用 `X25519:prime256v1` 是当前最稳妥的配置方式——X25519 负责性能与安全，prime256v1（即 secp256r1）兜底兼容旧设备。它不靠堆参数，而靠选对曲线、排好顺序、配齐依赖。

选对曲线：X25519 是事实标准

X25519 不是“又一种可选曲线”，而是现代 TLS 握手的效率基线：

• 标量乘法比 prime256v1 快 2–3 倍，尤其在 ARM 移动芯片和高并发服务器上，CPU 密钥生成耗时明显下降
• 32 字节固定长度密钥，无变长解析逻辑，抗时序侧信道攻击能力强
• 被 Chrome 50+、Firefox 48+、Safari 10+、Android 7.0+、iOS 10+ 全面原生支持，TLS 1.3 强制要求
• OpenSSL 1.1.0+ 开始支持，Nginx 1.11.0+ 原生识别，无需额外模块

写对顺序：优先级决定真实协商结果

ssl_ecdh_curve 的值是客户端按顺序匹配的优先列表，不是集合。顺序错等于没配：

• ✅ 正确写法：ssl_ecdh_curve X25519:prime256v1; —— 现代客户端直选 X25519，旧设备回落 prime256v1
• ❌ 错误写法：ssl_ecdh_curve prime256v1:X25519; —— 客户端匹配到第一个就停，根本不会看后面
• ⚠️ 过度扩展：ssl_ecdh_curve X25519:secp384r1:secp521r1; —— ClientHello 携带更多曲线 ID，服务端遍历判断增加开销
• 禁用已知弱曲线：如 sect163k1、brainpoolP256r1、secp192r1 等，现代 OpenSSL 默认已禁用，无需显式写入

配齐依赖：单点优化无法生效

ssl_ecdh_curve 只管密钥交换环节，必须配合其他 TLS 设置才能释放全部收益：

• 协议版本：ssl_protocols TLSv1.2 TLSv1.3;（推荐直接启用 TLSv1.3 并关闭更低版本）
• 密码套件：ssl_prefer_server_ciphers off; —— 让客户端按能力优选含 X25519 的 ECDHE-GCM 套件
• 会话复用：ssl_session_cache shared:SSL:10m; ssl_session_timeout 10m; —— 减少重复完整握手
• OCSP Stapling：ssl_stapling on; ssl_stapling_verify on; —— 避免客户端远程查吊销状态，节省百毫秒延迟

验实结果：配置正确 ≠ 协商成功

nginx -t 只校验语法，必须验证真实握手行为：

• 终端命令：openssl s_client -connect example.com:443 -tls1_3 2>/dev/null | grep "Server Temp Key" 输出含 X25519, 253 bits 表示成功
• 在线检测：SSL Labs 扫描后查看 “Key Exchange” 栏，首选曲线应明确标为 X25519
• 排查常见失败原因：OpenSSL 版本低于 1.1.0、Nginx 编译时链接的是旧版 OpenSSL（用 nginx -V | grep OpenSSL 确认）、未执行 nginx -s reload