apache mod_ssl 无sslocspoverride指令，误用会导致配置错误；离线双向认证应设sslcarevocationcheck none跳过吊销检查，而非使用不存在的伪指令。
SSLOCSPOverride 并不存在 —— Apache 官方模块 mod_ssl **没有这个指令**。试图在配置中写入 SSLOCSPOverride on 或类似内容，会导致 apachectl configtest 报错：Syntax error on line X of /etc/httpd/conf.d/ssl.conf: Invalid command 'SSLOCSPOverride', perhaps misspelled or defined by a module not included in the server configuration。
为什么搜到“SSLOCSPOverride”？
这个词常见于两类误传场景：
- 把 Nginx 的
ssl_ocsp_override（也并不存在，Nginx 实际用ssl_stapling_verify off控制验证行为）错误套用到 Apache - 混淆了 Apache 的
SSLVerifyClient和 OCSP 行为：OCSP 校验发生在服务器验证客户端证书时（双向 TLS），但那是由SSLCARevocationFile/SSLCARevocationPath或 OCSP 响应签名验证控制的，不靠“override”开关
离线环境下想跳过 OCSP 验证？重点看这三处
如果你的真实需求是：在无法访问 CA OCSP 服务器的内网/隔离环境，又启用了客户端证书双向认证（SSLVerifyClient require），避免因 OCSP 查询超时导致握手失败 —— 那么真正起作用的是以下配置项：
-
SSLCARevocationCheck none：完全跳过吊销检查（CRL 和 OCSP 都不查）。这是最直接的离线适配方式，但会牺牲吊销状态安全性 -
SSLCARevocationCheck chain：只查 CRL（若你已提前下载好并配置了SSLCARevocationFile），不触发 OCSP 查询 - 不配置
SSLOCSPResponse或任何 OCSP 相关指令：Apache 默认不会主动发起 OCSP 请求，除非你在客户端证书验证链中显式启用了 OCSP 支持（例如通过 OpenSSL 的X509_V_FLAG_OCSP_STAPLE，但 mod_ssl 不暴露该层）
别碰 SSLStaplingCache 和 SSLUseStapling —— 它们和客户端校验无关
这两个指令只影响服务器证书的 OCSP 装订（stapling），即服务器把自己的证书状态“装订”给浏览器看。它们对 SSLVerifyClient 过程中的客户端证书吊销检查毫无作用。在离线双向认证场景下启用它们不仅无效，还可能因缓存初始化失败干扰启动。
真正的离线双向认证稳定点，在于确保 SSLCACertificateFile 指向完整、静态、本地可读的 CA 证书 PEM 文件，并配合 SSLCARevocationCheck none 明确关闭动态吊销查询。其他所谓“override”类命名，都是配置噪音。
