怎么配置 ssl_session_tickets 开启会话状态交由客户端保管的无状态 HTTPS 性能加速

直接启用ssl_session_tickets并统一48字节密钥可实现无状态HTTPS加速；需在可信机生成密钥、全节点字节级一致分发、server块中显式配置on与key路径、禁用ssl_session_cache、限定TLSv1.2+协议，并通过Chrome DevTools验证票据生效。

直接启用 ssl_session_tickets，让客户端自己携带加密票据，服务端无需共享缓存就能解密复用——这是实现无状态 HTTPS 加速最轻量、最可靠的方式。

必须生成并固定 48 字节密钥文件

密钥是整个机制生效的核心。Nginx 或 Apache 若不显式指定密钥，会每次启动自动生成临时密钥，导致旧票据无法解密，复用率归零。

• 在可信机器上执行：openssl rand 48 > /etc/nginx/ticket.key（Nginx）或 openssl rand -out /etc/ssl/private/ticket.key 48（Apache）
• 验证长度：ls -l /etc/nginx/ticket.key 输出必须为 48
• 设权限：chmod 400 /etc/nginx/ticket.key（Nginx）或 chmod 600 /etc/ssl/private/ticket.key（Apache）
• 属主设为运行用户，如 chown nginx:nginx 或 chown www-data:www-data

在配置中显式启用并指向密钥

不能只写 on，必须同时绑定密钥路径，否则等于没开。

• Nginx（推荐写在 server{} 块内，避免被虚拟主机覆盖）：
  

  ssl_session_tickets on;<br>ssl_session_ticket_key /etc/nginx/ticket.key;

• Apache（写在全局 SSL 配置中，如 /etc/apache2/mods-enabled/ssl.conf）：
  

  SSLSessionTickets on<br>SSLSessionTicketKeyFile /etc/ssl/private/ticket.key

• 多节点集群时，所有机器必须使用完全相同的密钥文件（字节级一致）

禁用冲突的会话缓存机制

ssl_session_tickets 和 ssl_session_cache（或 Apache 的 SSLSessionCache）互斥。若同时启用，服务端优先走缓存，票据被忽略。

• Nginx：注释或删除所有 ssl_session_cache 行
• Apache：确认未在 <VirtualHost> 或 .htaccess 中意外关闭 SSLSessionTickets，也避免配置 SSLSessionCache shmcb 同时生效
• 二者不是替代关系，而是不同场景分工：tickets 解决跨节点复用，cache 仅优化单机高频请求——但生产集群中应以 tickets 为主

配合协议与版本控制确保客户端真正使用

即使服务端配对正确，若客户端被迫降级到 TLS 1.0/1.1，票据机制也不生效（这些旧协议不支持）。

• Nginx：添加 ssl_protocols TLSv1.2 TLSv1.3;
• Apache：添加 SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1
• 移动端（Android/iOS/WebView）默认支持票据，但需后端强制 TLS 1.2+ 才能触发
• 验证方式：用 Chrome DevTools → Security 标签页查看连接是否显示 “(TLS 1.3)” 或 “(TLS 1.2)”，且没有 “obsolete TLS version” 提示