nginx ssl高性能优化需从五维度系统调优：启用tls 1.3并精简加密套件；强化会话复用与ocsp stapling；调大ssl缓冲与超时参数；启用http/2及brotli/gzip压缩。
要让 Nginx 的 SSL 配置真正支撑高性能、大流量、大型数据传输（如文件上传/下载、API 批量传输、流媒体代理等），不能只停留在“能用 HTTPS”，而需从协议层、加密效率、连接复用、缓冲与超时、以及底层资源协同五个维度系统优化。
启用 TLS 1.3 并精简加密套件
TLS 1.3 是当前唯一能显著降低握手延迟、提升大数据连接吞吐的协议版本。它将完整握手压缩为 1-RTT，零往返（0-RTT）在可信重连场景下可进一步提速。
- 确保 Nginx ≥ 1.13.0，OpenSSL ≥ 1.1.1（推荐 3.0+）
- 明确指定协议：ssl_protocols TLSv1.2 TLSv1.3;
- 使用现代、硬件友好的密码套件：ssl_ciphers 'TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256';
- 禁用不必要协商：ssl_prefer_server_ciphers off;（TLS 1.3 中该指令已无效，但保留可避免旧配置冲突）
强化 SSL 会话复用与缓存策略
大型数据传输常伴随长连接、多请求复用（如 HTTP/2 流）、或客户端频繁断连重试。高效复用 SSL 会话可避免重复密钥交换开销。
- 启用共享会话缓存：ssl_session_cache shared:SSL:20m;（20MB ≈ 8 万个会话）
- 延长复用窗口：ssl_session_timeout 10m;（对高并发上传/下载场景，可设为 15–30 分钟）
- 务必开启 OCSP Stapling：ssl_stapling on; ssl_stapling_verify on;，并配置有效上游 DNS 和证书链，避免客户端阻塞验证
适配大包传输的缓冲与超时调优
默认 Nginx SSL 缓冲区（如 ssl_buffer_size）为 4KB，对大文件分块传输效率低；默认超时也易中断长时间上传。
- 增大单次 TLS 记录大小：ssl_buffer_size 16k;（提升吞吐，尤其在千兆以上带宽环境）
- 调高读写超时：client_header_timeout 300; client_body_timeout 600; send_timeout 600;
- 针对大上传，增加体长限制：client_max_body_size 2G;，并确认 client_body_buffer_size ≥ 16k
- 若使用反向代理转发大响应，同步调整 proxy_buffering on; 与 proxy_buffers 16 64k;
启用 HTTP/2 + GZIP/Brotli 协同加速
HTTP/2 多路复用可避免队头阻塞，对并发大数据请求（如分片上传、批量 API 调用）至关重要；压缩则直接减少加密前的数据体积，降低 CPU 和带宽压力。
- 监听句柄必须带 http2：listen 443 ssl http2;
- 启用 Brotli（优于 GZIP）：brotli on; brotli_comp_level 4; brotli_types application/json application/xml text/plain text/css text/js;
- 若无法编译 Brotli，退而启用高效 GZIP：gzip on; gzip_vary on; gzip_min_length 1024; gzip_types application/json application/xml text/plain;
