启用 ocsp stapling 需满足：nginx ≥1.3.7、openssl ≥1.0.1、证书含 authorityinfoaccess 扩展；配置 ssl_stapling on、ssl_trusted_certificate、resolver（如 8.8.8.8 1.1.1.1 valid=300s）并验证生效。
在 Nginx 中启用 ssl_stapling（OCSP Stapling）能显著提升 HTTPS 握手性能并增强证书状态验证的隐私性，但其正常工作高度依赖稳定、低延迟且支持 IPv6（若需要）的 DNS 解析服务。若 DNS 不可靠，OCSP 响应获取失败会导致 stapling 被禁用，甚至可能拖慢 TLS 握手。
确保 ssl_stapling 开启且前提条件满足
Nginx 版本需 ≥ 1.3.7（推荐 ≥ 1.11.0），且 OpenSSL 版本需支持 OCSP（通常 ≥ 1.0.1）。SSL 证书必须包含有效的 authorityInfoAccess 扩展（即 OCSP 响应器 URL），可通过以下命令检查：
openssl x509 -in example.com.crt -text -noout | grep -A1 "OCSP"
若无输出，说明证书未提供 OCSP 地址，ssl_stapling 将无法工作。此时需联系 CA 重新签发或使用支持 OCSP 的中间证书。
-
必须开启：
ssl_stapling on;（在 server 或 http 块中） -
必须指定可信根证书：
ssl_trusted_certificate指向包含根证书和中间证书的 PEM 文件（不能只用ssl_certificate） -
建议开启验证：
ssl_stapling_verify on;（启用后 Nginx 会校验 OCSP 响应签名和有效期）
显式配置 resolver，避免依赖系统 DNS
Nginx 默认不缓存 DNS 查询结果，且不使用 /etc/resolv.conf。若未设置 resolver，OCSP 请求将因 DNS 解析失败而静默降级——ssl_stapling 自动关闭，日志中仅提示 no resolver defined to resolve OCSP responder hostname。
应在 http 块中配置带缓存时间的 resolver，例如：
resolver 8.8.8.8 1.1.1.1 valid=300s; resolver_timeout 5s;
- 推荐使用多个权威 DNS（如
8.8.8.8、1.1.1.1、223.5.5.5），提高容错性 -
valid=300s表示 DNS 缓存 5 分钟，减少重复查询；过短易触发频繁解析，过长则无法及时响应 DNS 变更 -
resolver_timeout应略大于网络 RTT，避免因超时中断 OCSP 获取流程 - 若服务器仅支持 IPv6，需指定
resolver ... ipv6=on;
验证 OCSP Stapling 是否生效
配置完成后，重启 Nginx 并用以下方式确认：
- 使用
openssl s_client连接并检查输出中是否含OCSP response:字段：
openssl s_client -connect example.com:443 -status -servername example.com 2>&1 | grep -A17 "OCSP response"
- 查看 Nginx error log，正常时应有类似
stapling in the certificate chain, issuer: ...；若失败，常见错误包括resolving OCSP responder hostname ... failed或certificate verification failed - 使用在线工具如 SSL Labs Test，检查 “OCSP Stapling” 项是否显示 “Yes”
进阶：应对 OCSP 响应器不可达或 CA 变更
部分 CA 的 OCSP 响应器稳定性较差（如 Let’s Encrypt 的 http://ocsp.int-x3.letsencrypt.org 曾偶发延迟），或响应器地址变更后旧证书仍指向已弃用端点。此时可：
- 定期更新
ssl_trusted_certificate文件，确保包含最新中间证书（尤其更换 CA 后） - 对关键站点，考虑部署本地 OCSP 缓存代理（如
ocsp-responder或 Nginx Plus 内置功能），绕过公网 OCSP 查询 - 监控
ssl_stapling状态：通过stub_status或 Prometheus exporter 抓取nginx_http_ssl_stapling_status指标（需 Nginx Plus 或自编译模块）
