proxy_ssl_session_reuse on 是 Nginx 优化 HTTPS 回源性能最直接手段，可将 TLS 建连从 2–3 RTT 缩至 1 RTT、延迟降至 20–40ms；必须在 upstream 块中配置，配合 keepalive、HTTP/1.1 和 TLS 版本一致才能生效。
proxy_ssl_session_reuse on 是 Nginx 优化高并发 HTTPS 回源性能最直接、成本最低的手段之一。它不改变业务逻辑，也不依赖后端升级，只需正确配置，就能把 TLS 建连从 2–3 RTT 缩减到 1 RTT，单次建连延迟从 80–120ms 降至 20–40ms，实测可降低 30%–60% 的握手开销和 CPU 消耗。
必须放在 upstream 块中启用
该指令仅在 `upstream` 上下文生效，且只对 `https://` 后端起作用。写在 `server`、`location` 或 `http` 块里会被完全忽略：
✅ 正确：
upstream api_backend {
server api1.example.com:443;
server api2.example.com:443;
keepalive 32;
proxy_ssl_session_reuse on;
}
❌ 错误（无效）：
location /api {
proxy_pass https://api_backend;
proxy_ssl_session_reuse on; # ← 这行不会生效
}
若 upstream 使用域名（如 api.example.com），还需加 proxy_ssl_server_name on，确保 SNI 正确传递，否则证书不匹配导致复用失败。
必须配套三项基础配置
SSL 会话复用依赖底层 TCP 连接复用，缺一不可：
- 启用长连接池：`upstream` 中设置 `keepalive 16–64`（根据后端吞吐能力调整）
-
升级 HTTP 协议：在 `location` 或 `upstream` 对应的 `proxy` 块中添加：
`proxy_http_version 1.1;`
`proxy_set_header Connection '';` - 确保后端支持 keep-alive：后端响应头中不能含 `Connection: close`；Spring Boot 等需调大 `server.tomcat.connection-timeout`，避免早于 Nginx 的 `keepalive_timeout` 关闭连接
必须统一 TLS 协议与会话机制
哪怕版本差一级，也会退化为完整握手：
- 显式声明协议：`proxy_ssl_protocols TLSv1.2 TLSv1.3;`（禁用 TLSv1.0/1.1）
- 检查 OpenSSL 版本：`nginx -V 2>&1 | grep -o 'OpenSSL [^ ]*'`，确认支持 TLS 1.2+
- 多实例后端启用 session ticket 时，所有节点必须共享同一 `ssl_session_ticket_key`，否则票据无法解密，复用中断
- 避免混用协议：Nginx 配了 TLSv1.2，而后端只开放 TLSv1.3 → 握手失败 → 复用归零
验证是否真实生效，不能只看配置
日志和行为观察比语法检查更可靠：
- 在 log_format 中加入变量：
`"$upstream_ssl_session_reused"`（值为 r 表示复用，. 表示新建） - 开启 debug 日志：
`error_log /var/log/nginx/ssl.log debug;`
搜索 "SSL reused session" 出现频次 - 抓包验证（Wireshark 过滤后端端口）：
复用成功时只有 Change Cipher Spec + Finished；
完整握手则有 ClientHello → ServerHello → Certificate 等 4–5 轮交互
