OCSP Stapling 失效主因是配置缺失：未配 resolver、ssl_trusted_certificate 路径错误或缺根证书、证书无 authorityInfoAccess 扩展、ssl_stapling_verify on 时验证失败等，均导致静默不发送响应。
OCSP Stapling 能显著减少 TLS 握手延迟、避免客户端直连 CA 暴露访问行为，但配置不全或顺序错误时，ssl_stapling 会静默失效——不是报错，而是压根不发 OCSP 响应。
ssl_stapling on 为什么没生效？常见静默失败原因
Nginx 启动不报错、nginx -t 也通过，但 openssl s_client -connect example.com:443 -status 始终返回 OCSP response: no response sent，大概率是以下某一项缺失：
-
resolver未配置：Nginx 不读/etc/resolv.conf，必须显式写在http或server块里，否则 DNS 解析失败，OCSP 请求直接跳过 -
ssl_trusted_certificate指向文件为空、路径错误，或内容不包含用于验证 OCSP 响应签名的根+中间证书（注意：不能复用ssl_certificate文件，后者通常不含根证书） - 证书本身没带
authorityInfoAccess扩展：用openssl x509 -in example.com.crt -text -noout | grep -A1 "OCSP"查不到OCSP - URI:行，说明 CA 没提供 OCSP 地址，ssl_stapling自动退化 -
ssl_stapling_verify on开启后，若ssl_trusted_certificate不完整，Nginx 会禁用 stapling 而非报错（日志里可能只有no suitable certificate found这类模糊提示）
resolver 配置不当会拖慢 TLS 握手甚至导致超时
DNS 解析卡住时，OCSP 获取流程会阻塞整个 stapling 流程。Nginx 默认无 resolver、无缓存、无超时控制，极易引发连锁问题：
- 必须写
resolver 8.8.8.8 1.1.1.1 valid=300s;（推荐至少两个公共 DNS），valid=300s控制缓存时间，太短增加解析压力，太长无法响应 OCSP 域名变更 - 必须配
resolver_timeout 5s;，否则默认无限等待；实测超过 2s 就可能影响首字节时间（TTFB） - 若服务器仅支持 IPv6，要加
resolver ipv6=on;，否则解析ocsp.int-x3.letsencrypt.org这类域名会失败 - 别用
127.0.0.1作为唯一 resolver——本地 DNS 服务一旦宕机或响应慢，stapling 立即不可用，且无 fallback
ssl_trusted_certificate 和 ssl_certificate 容易混淆
这两个参数用途完全不同，混用会导致验证失败或 stapling 关闭：
-
ssl_certificate：提供给客户端的证书链，含站点证书 + 中间证书（不含根证书），用于建立信任链 -
ssl_trusted_certificate：仅用于 Nginx 内部验证 OCSP 响应签名，必须含根证书 + 所有中间证书（即完整 CA bundle），可用 Let’s Encrypt 的fullchain.pem或 DigiCert 的ca-bundle.crt - 常见错误：把
ssl_certificate路径直接复制给ssl_trusted_certificate，结果因缺根证书导致ssl_stapling_verify on校验失败，stapling 自动关闭 - 验证方法：
openssl verify -CAfile /path/to/ssl_trusted_certificate.pem ocsp_response.der（需先用openssl s_client提取 DER 格式响应）
如何快速验证 OCSP Stapling 是否真正生效
别只看 Nginx 日志或配置语法，真实握手链路才是关键：
- 用
openssl s_client -connect example.com:443 -status -servername example.com 2>&1 | grep -i "ocsp response"，输出含OCSP Response Status: successful (0x0)才算成功 - 用
curl -Iv https://example.com 2>&1 | grep -i "ocsp"看不到任何东西是正常的——OCSP stapling 不在 HTTP 头里，只走 TLS 扩展 - 浏览器开发者工具的 Security 标签页中，“Certificate” → “Details” → 查看是否有 “OCSP stapling: Yes” 字样（Chrome / Edge 支持）
- SSL Labs 测试结果页中，"OCSP Stapling" 项显示 "Yes" 且无 warning，比本地命令更贴近真实终端行为
最常被忽略的是：OCSP 响应本身有有效期（通常 4 天），Nginx 缓存后不会主动刷新，直到过期才重取。如果期间 CA 的 OCSP 服务器不可达，Nginx 会继续发送过期响应，部分严格客户端（如 iOS Safari）会拒绝该 stapling 并回退到传统 OCSP 查询——此时性能和隐私优势就没了。
