nginx virtual host 中启用 ocsp stapling 需同时满足五项前提并配置四条核心指令：版本达标、证书含 ocsp 地址、系统时间准确、证书链完整；且必须设置 ssl_stapling on、ssl_stapling_verify on、ssl_trusted_certificate、resolver。
在 Nginx 的 Virtual Host（server 块）中配置 OCSP Stapling，不是加一行 ssl_stapling on 就能生效的开关，而是一套必须全部满足、协同工作的机制。缺任何一环，Nginx 会静默关闭 stapling——不报错、不警告，客户端仍需自行发起 OCSP 查询，导致 TLS 握手多出 150–300ms 延迟。
确认 Virtual Host 级别前提条件全满足
OCSP Stapling 在单个 server 块中启用前，必须确保以下五项同时成立：
- Nginx 版本 ≥ 1.3.7（生产环境建议 ≥ 1.11.0，错误处理更稳定）
- OpenSSL 版本 ≥ 1.0.1（推荐使用 1.1.1 或更新版）
- 该域名证书包含 Authority Information Access 扩展（内嵌 OCSP 响应器地址），可用命令验证：
openssl x509 -in /path/to/cert.pem -text -noout | grep -A1 "OCSP" - 服务器系统时间误差 ≤ ±5 分钟（chrony 或 ntpd 同步是必需的）
- 证书链完整：要么
ssl_certificate指向含域名证书 + 中间证书的 PEM 文件（如 Let’s Encrypt 的fullchain.pem），要么用ssl_trusted_certificate单独指定可信链
Virtual Host 中必须写的四条核心指令
这四条指令必须全部写在对应 HTTPS 的 server 块内（监听 443 端口），位置不能错、路径不能错、顺序无关但缺一不可：
-
ssl_stapling on;—— 显式启用 stapling 功能（默认关闭） -
ssl_stapling_verify on;—— 强制校验 OCSP 响应签名、颁发者及有效期，防止缓存伪造或中间人篡改 -
ssl_trusted_certificate /etc/nginx/ssl/trusted-ca-bundle.pem;—— 指向专用于验证 OCSP 响应的信任链文件；内容须按“中间 CA → 根 CA”顺序拼接，不含域名证书本身 -
resolver 1.1.1.1 8.8.8.8 223.5.5.5 valid=300s;—— 必须显式配置 DNS 解析器（Nginx 不读/etc/resolv.conf）；多个 DNS 提升容错性；valid=300s表示 DNS 缓存 5 分钟
建议追加：resolver_timeout 2s;，避免 DNS 查询卡住整个 TLS 握手流程。
避免常见陷阱：DNS 和证书链
这两处最容易导致 stapling 静默失效，且日志提示极弱：
- 若未配置
resolver，Nginx 日志仅显示no resolver defined to resolve OCSP responder hostname，然后自动关闭 stapling，无握手报错 -
ssl_trusted_certificate文件若缺失中间证书、顺序颠倒、或误用ssl_certificate文件，会导致ssl_stapling_verify on校验失败，stapling 被跳过 - 不要复用
ssl_certificate所指的 PEM 文件作为ssl_trusted_certificate；后者只用于验证 OCSP 响应，不含站点证书
验证是否真正生效
别只看配置是否加载成功，要确认客户端实际收到了 stapled 响应：
- 终端执行：
openssl s_client -connect example.com:443 -status -servername example.com 2>&1 | grep -A 2 "OCSP response" - 成功时输出含：
OCSP response: successful (0x0)
和CertStatus: good - 若看到
OCSP response: no response sent或空输出，说明 stapling 未启用或验证失败
