X25519是当前最简单有效的椭圆曲线优化方式，配置ssl_ecdh_curve X25519:prime256v1;并配合TLS 1.3、会话复用及OCSP Stapling，可显著降低握手延迟。
直接把 ssl_ecdh_curve 设为 X25519，是当前最简单、最有效的椭圆曲线密钥交换优化方式。它不依赖硬件升级，也不需要改协议版本，只要 Nginx（或兼容服务器）使用 OpenSSL 1.1.1+ 编译，就能立刻生效，显著降低 TLS 握手延迟。
为什么首选 X25519
X25519 不是“又一种曲线”，而是目前综合表现最优的密钥交换实现：
- 计算快：基于 Montgomery 曲线结构，标量乘法比 secp256r1 快 2–3 倍，且全程恒定时间，抗时序攻击
- 安全强：提供 128 位安全强度，参数公开无专利，经多年实战检验
- 兼容好：TLS 1.3 强制支持，Chrome 50+、Firefox 48+、Safari 10+、Android 7.0+、iOS 10+ 全部原生支持
Nginx 中正确配置 ssl_ecdh_curve
关键不是“加进去”，而是“只留必要项 + 顺序明确”：
- 配置示例：ssl_ecdh_curve X25519:prime256v1;（注意大小写、冒号无空格）
- X25519 必须放在最前——客户端优先协商该曲线，避免回退到慢曲线
- 最多保留 1–2 条备用曲线：prime256v1（即 secp256r1）用于极少数旧设备（如 Android 4.x、IE 11 on Win7），其他如 secp384r1、secp521r1、sect*、brainpool* 应禁用
- 不要写
auto或通配符，防止运行时加载不可控逻辑
必须配合的基础 TLS 设置
单靠曲线优化不能孤立起效，需与以下设置协同：
- 启用 TLS 1.3：ssl_protocols TLSv1.3;（推荐直接关闭 TLS 1.2 及以下，消除降级风险与协商开销）
- 让客户端主导选择：ssl_prefer_server_ciphers off;（现代客户端会优先选带 X25519 的套件）
- 开启会话复用：ssl_session_cache shared:SSL:10m; ssl_session_timeout 4h;
- 启用 OCSP Stapling：ssl_stapling on; ssl_stapling_verify on;（需配置
ssl_trusted_certificate）
验证是否真正生效
配置语法正确 ≠ 运行时协商成功。务必实测真实流量：
- 终端命令验证：
openssl s_client -connect example.com:443 -tls1_3 2>/dev/null | grep "Server Temp Key"，输出含 X25519, 253 bits 表示成功 - 抓包确认：Wireshark 过滤
tls.handshake.type == 2（Server Hello），检查key_share扩展中的group字段是否为x25519 - 在线检测：SSL Labs Test 查看 “Key Exchange” 栏目，确认首选曲线为 X25519
- 检查底层依赖：
nginx -V 2>&1 | grep -o 'OpenSSL [0-9.]\+'，确保 ≥ 1.1.1
