能将移动端https首次握手延迟降低150–300ms，需同时满足证书含authorityinfoaccess扩展、nginx≥1.3.7、openssl≥1.0.1、系统时间误差≤±5分钟、证书链完整，并在server块中配置ssl_stapling on、ssl_stapling_verify on、ssl_trusted_certificate、resolver及resolver_timeout。
直接在 Nginx 的 server 块中配置 ssl_stapling，能将移动端 HTTPS 首次握手延迟降低 150–300ms。这不是加一行 on 就完事的功能——它依赖多个组件协同工作，缺一不可，否则会静默失效，你完全看不到错误提示。
确认证书和系统是否达标
基础条件不满足，后续所有配置都白搭：
- 证书必须含
authorityInfoAccess扩展，即明确提供 OCSP 响应器地址。用命令验证：openssl x509 -in your.crt -text -noout | grep -A1 "OCSP"，输出中要有类似OCSP - URI:http://ocsp.int-x3.letsencrypt.org - Nginx ≥ 1.3.7（生产建议 ≥ 1.11.0），OpenSSL ≥ 1.0.1（推荐 1.1.1+）
- 服务器时间偏差 ≤ ±5 分钟（OCSP 响应含严格时间戳，超时即拒收）
- 证书链完整：要么
ssl_certificate指向包含站点证书 + 中间证书的文件（如 Let’s Encrypt 的fullchain.pem），要么用ssl_trusted_certificate单独指定可信链
server 块内必需的四条核心指令
以下全部写入监听 443 的 server 块中（不能只放 http 块顶层，也不能遗漏任意一条）：
-
ssl_stapling on;—— 必须显式开启，默认是off -
ssl_stapling_verify on;—— 强烈启用，Nginx 会校验 OCSP 响应签名、有效期及颁发者，防止伪造数据被缓存 -
ssl_trusted_certificate /path/to/fullchain.pem;—— 指向根证书 + 所有中间证书的 PEM 文件（注意：不是你的站点证书，也不是ssl_certificate所指文件） -
resolver 8.8.8.8 1.1.1.1 223.5.5.5 valid=300s;—— 必须显式配置 DNS 解析器；Nginx 不读/etc/resolv.conf；多个 DNS 提升容错性；valid=300s表示 DNS 缓存 5 分钟
推荐追加：resolver_timeout 5s;，避免 DNS 查询卡住整个 TLS 握手。
移动端特别要注意的稳定性细节
移动网络 DNS 不稳、首包延迟高、连接易中断，配置需更稳健：
- 避免只配一个 DNS（例如仅
8.8.8.8）。至少保留两个不同来源的 DNS，比如114.114.114.114（电信）+223.5.5.5（阿里），降低单点解析失败风险 - 不建议混用 IPv6 DNS（如
[2001:4860:4860::8888]），除非确认目标用户网络全程支持 IPv6，否则 AAAA 查询可能拖慢 handshake - 可搭配
ssl_session_cache shared:SSL:10m; ssl_session_timeout 10m;进一步提升复用率，减少重复握手开销
验证是否真正生效
重启 Nginx 后，用以下命令测试：
openssl s_client -connect example.com:443 -servername example.com -status -tlsextdebug 2>&1 | grep -i "ocsp response"
若输出中出现 OCSP Response Status: successful (0x0) 及响应内容，说明 stapling 已正常工作。也可用 SSL Labs Test 查看 “OCSP Stapling” 项是否显示为 Yes。
