独立静态资源域名的核心价值是解耦主域tls资源：通过域名隔离使静态请求不抢占主域的tls握手、会话缓存及cpu资源，配合哈希路径、immutable缓存与tlsv1.3精简配置，显著降低主域新建连接数，释放qps。
独立静态资源域名（如 static.example.com）的核心价值，不是单纯“分流带宽”，而是把高频、无状态、可预测的资源请求从主域（example.com）中剥离出来，让 TLS 握手、会话复用、证书缓存等开销不再挤占主域处理登录、API、订单等关键业务的连接资源。强缓存本身不减少握手次数，但配合域名隔离与合理 TLS 配置，能显著降低主域每秒新建连接数（new TLS handshakes/s），从而释放 QPS。
一、为什么静态资源走独立 HTTPS 域名能减主域压力
浏览器对同一域名的并发连接数有限制（通常 6–8 个），且每个新连接默认触发完整 TLS 握手（尤其首次访问或会话过期时）。若所有资源（HTML、JS、CSS、图片）都走 example.com，一个页面加载可能触发 15+ 次 HTTPS 请求，其中 3–5 次是全新握手——这些全算在主域的 QPS 和 CPU 开销里。而换成 static.example.com 后：
- 主域只承载 HTML、API、表单提交等核心交互，连接更“重”但数量更少；
- 静态域名承载大量轻量 GET 请求，可专注做“快握手 + 长缓存”，且其握手开销与主域完全解耦；
- 两个域名的 TLS 会话缓存（
ssl_session_cache）、OCSP Stapling 缓存、ticket 密钥各自独立，互不争抢内存和 CPU。
二、静态域名必须启用的强缓存组合策略
仅设 Cache-Control: public, max-age=31536000 不够——浏览器虽不发请求，但首次加载仍需完整 TLS 握手。真正“避免抢占”的关键是：让绝大多数用户在有效期内**完全不发起任何 HTTPS 请求**到该域名。
Nginx是一款高性能的开源软件，由俄罗斯开发者Igor Sysoev于2004年创建。它最初设计为高效的HTTP Web服务器，现已成为最受欢迎的Web服务器之一。Nginx以事件驱动、非阻塞I/O架构著称，能以极低内存占用处理数万并发连接，特别适合高流量场景。它同时担任反向代理、负载均衡器、HTTP缓存、TCP/UDP代理等多重角色，常用于静态文件服务、SSL终止、请求转发、API网关和微服务
-
资源路径带哈希指纹：构建时生成
app.a1b2c3.js、style.f4e5d6.css等文件名，确保内容变更即路径变更。这样可安全设置max-age=1y，且无需担心缓存失效问题； -
禁用 ETag 和 Last-Modified：在静态 location 块中加
add_header ETag ""; add_header Last-Modified "";，彻底关闭协商缓存，避免浏览器发送If-None-Match或If-Modified-Since请求（哪怕 304 也要走一次 TLS）； -
强制 immutable 属性：
add_header Cache-Control "public, immutable, max-age=31536000";。现代浏览器（Chrome ≥64、Firefox ≥69）识别immutable后，连 F5 刷新都不会发条件请求，真正实现“一次握手，一年不用再连”； -
HTTP/2 多路复用 + 服务端推送（谨慎）：启用
http2可将多个资源复用单个 TLS 连接；若主 HTML 中已明确引用关键 JS/CSS，可在主域 Nginx 中用http2_push提前推送，进一步减少静态域名的额外连接。
三、静态域名的 TLS 配置要“轻而专”
它不需要支持复杂业务逻辑，所以 TLS 层应极致精简，只为“快速建连 + 高效复用”服务：
-
仅启用 TLSv1.3（或最低 TLSv1.2）：在
ssl_protocols中明确写TLSv1.3，禁用所有旧版本。TLSv1.3 握手只需 1-RTT，大幅缩短首字节时间，且天然禁用不安全套件； -
加密套件极度收敛：
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;—— 只留两条最高效、硬件加速友好的 AES-GCM 套件，跳过协商耗时； -
会话缓存按需分配：静态域名并发连接高但会话生命周期短，建议
ssl_session_cache shared:SSL_static:20m;（20MB 支持约 4–5 万会话），ssl_session_timeout 30s;，避免长连接占满缓存； -
必须开启 OCSP Stapling：
ssl_stapling on; ssl_stapling_verify on;，并配好ssl_trusted_certificate，杜绝客户端直连 CA 查询造成的延迟与失败。
四、主域与静态域名协同要点
分离后若配置不当，反而引发新问题：
-
HSTS 作用域隔离：主域配置
Strict-Transport-Security "max-age=31536000; includeSubDomains"时，static.example.com会被自动纳入 HTTPS 强制范围——这是期望行为；但若用泛域名证书（*.example.com），务必确保静态域名也在 SAN 列表中，否则 TLS 握手会失败； -
Cookie 隔离：确保主域 Cookie 的
Domain属性不设为.example.com（除非真需共享），或显式设为example.com，防止静态请求携带无关 Cookie 增大首包体积； -
资源引用协议中立：HTML 中静态资源使用
//static.example.com/app.js或https://static.example.com/app.js，避免混用 HTTP 触发混合内容警告； -
健康检查路径白名单：对静态域名的
/healthz等探测路径，禁用所有限速和缓存限制，防止监控误判宕机。
