Nginx 中 ssl_stapling 怎样提升 HTTPS 的握手速度

ssl_stapling 是 Nginx 的 HTTPS 性能优化机制，通过在 TLS 握手时由服务器主动装订 OCSP 响应，避免浏览器额外查询，降低 150–300ms 延迟；启用需满足版本、证书扩展、时间同步、完整证书链及显式 resolver 等硬性条件。

Nginx 的 ssl_stapling 通过在 TLS 握手阶段主动把证书吊销状态（OCSP 响应）“装订”进 ServerHello 消息，让客户端无需再单独发起一次网络请求去查询 CA 的 OCSP 服务器。这直接省掉了 DNS 查询、TCP 连接、HTTP 请求和响应等待等环节，通常可减少 150–300ms 的首次握手延迟，对移动端、弱网或高延迟链路效果尤其明显。

核心提速逻辑很直接：
原本客户端要自己查 OCSP → 现在 Nginx 提前查好、验证好、缓存好，握手时顺手带上 → 客户端跳过这一步，直接完成证书校验。

必须同时满足的硬性前提

缺任何一项，`ssl_stapling` 都会静默失效（Nginx 不报错，但实际不工作）：

• 证书含有效 OCSP 地址：证书需有 authorityInfoAccess 扩展，内嵌类似 OCSP - URI:http://ocsp.int-x3.letsencrypt.org 的地址。用命令验证：
  openssl x509 -in your.crt -text -noout | grep -A1 "OCSP"
• Nginx 和 OpenSSL 版本达标：Nginx ≥ 1.3.7（生产建议 ≥ 1.11.0），OpenSSL ≥ 1.0.1（推荐 1.1.1+）
• 系统时间准确：偏差不能超过 ±5 分钟，否则 OCSP 响应中的有效期校验失败
• 证书链完整：要么 ssl_certificate 指向包含站点证书 + 中间证书的文件（如 Let’s Encrypt 的 fullchain.pem），要么用 ssl_trusted_certificate 单独指定可信链

server 块中必需的配置项

这些指令必须全部写入监听 443 的 server 块内（不能只放 http 块顶层）：

• ssl_stapling on; —— 显式开启，默认是 off
• ssl_stapling_verify on; —— 强制校验 OCSP 响应签名、颁发者和有效期，防伪造或过期数据
• ssl_trusted_certificate /path/to/fullchain.pem; —— 指向根证书 + 所有中间证书的 PEM 文件（顺序：中间证书在前，根证书在后；不是你的站点证书）
• resolver 8.8.8.8 1.1.1.1 223.5.5.5 valid=300s; —— 必须显式配置 DNS 解析器（Nginx 不读 /etc/resolv.conf），多个 DNS 提升容错性
• resolver_timeout 5s; —— 避免 DNS 查询卡住整个 TLS 握手

移动端与容错增强要点

移动网络更易受 DNS 波动、连接中断影响，配置需更稳健：

• DNS 至少配两个不同来源（例如 114.114.114.114 + 223.5.5.5），避免单点解析失败导致 stapling 失效
• 慎用 IPv6 DNS（如 [2001:4860:4860::8888]），除非确认全链路 IPv6 可靠，否则 AAAA 查询可能拖慢握手
• 搭配会话复用可进一步提速：
  ssl_session_cache shared:SSL:10m;
ssl_session_timeout 4h;
• 若使用私有 CA 或内网 OCSP 地址，resolver 必须指向能解析该域名的内网 DNS（如 CoreDNS），公网 DNS 无效

验证是否真正生效

别只看配置写了没，要用实际连接确认：

• 执行：
  openssl s_client -connect example.com:443 -servername example.com -tlsextdebug -status
• 成功时输出中会出现：
  OCSP Response Status: successful (0x0)
• 若看到 OCSP response: no response sent 或超时提示，说明 stapling 未启用，需回溯检查上述任一环节