必须关闭 proxy_ssl_session_reuse off，以杜绝会话缓存导致的证书校验绕过、密钥重用及中间人残留风险；它强制每次连接执行完整 tls 握手与证书链校验，确保金融、政务类内网通信零信任降级。
在高机密内网微服务通信中，关闭 TLS session 复用（proxy_ssl_session_reuse off）是为了杜绝因会话缓存导致的证书校验绕过、密钥重用或中间人残留风险。它不是“性能优化开关”，而是主动放弃复用、换取每次连接都真实走完整握手与证书链校验的安全策略。
为什么必须关掉 session 复用？
默认开启时，Nginx 可能复用上次成功建立的 TLS session ticket 或 session ID，跳过证书验证、密钥交换等关键步骤。一旦上游证书更新、吊销或被中间 CA 误签，缓存的旧 session 仍可能被接受——这对金融、政务类内网是不可接受的信任降级。
- 缓存 session 不校验新证书：即使后端换了证书，只要 session 未过期，Nginx 可能不触发
proxy_ssl_verify - 密钥材料复用：预主密钥（pre-master secret）衍生逻辑可能被推测或重放，尤其在长期运行的长连接池中
- 与
proxy_cache共存时更危险：缓存响应可能绑定到已失效的 TLS 上下文，造成“假信任”
正确启用方式：仅限 location 或 upstream 块内显式关闭
该指令只对当前作用域的 upstream 连接生效，不能写在 http 或 server 块顶层：
Ai Coach Batch Session Summary
下载
批量分析录音转写，输出多维度拓客报告。触发词：录音分析、总结、音频总结、拜访记录总结。当用户提及「分析录音」「看看录音数据」「最近的录音」「通话记录」且意图为批量统计/分析时触发。仅出现「录音」或「拜访」时需结合上下文，若仅查看单条详情则不触发。
- ✅ 正确（推荐放在具体微服务 location 中）：
location /api/payment {<br> proxy_pass https://payment-svc.internal;<br> proxy_ssl_session_reuse off;<br> proxy_ssl_verify on;<br> proxy_ssl_trusted_certificate /etc/nginx/ssl/internal-ca.pem;<br> proxy_ssl_name "payment-svc.internal";<br> proxy_ssl_server_name on;<br>} - ❌ 错误（全局设置无效）：
http { proxy_ssl_session_reuse off; }—— Nginx 会忽略此配置
配套必须同步调整的三项关键参数
单独关 session 复用不够，需形成闭环验证：
-
限定 TLS 协议版本：用
proxy_ssl_protocols TLSv1.2 TLSv1.3;明确排除 TLSv1.0/TLSv1.1，防止降级攻击干扰握手完整性 -
禁用 session ticket 缓存：虽然 Nginx 没有直接指令，但可通过上游服务（如 Spring Boot 的 Tomcat）配置
sslSessionCacheSize=0或关闭 session ticket 支持，从源头消除复用载体 -
缩短 session timeout（上游侧）：若上游是 Java 微服务，JVM 启动参数中避免
-Djdk.tls.ephemeralDHKeySize=2048类长期缓存设置；Tomcat 的sslProtocol="TLS"配合sessionCacheSize="0"更稳妥
如何验证是否真正生效？
重载 Nginx 后，用 OpenSSL 模拟客户端连接并观察 handshake 行为：
- 执行：
openssl s_client -connect payment-svc.internal:443 -servername payment-svc.internal -reconnect 2 - 观察输出中是否多次出现
New, TLSv1.3, Cipher is TLS_AES_256_GCM_SHA384（表示新建 session） - 对比开启
proxy_ssl_session_reuse on时，第二次连接会出现Reused, TLSv1.3—— 关闭后该字样应消失
