nginx中启用ssl_session_tickets可实现无状态tls会话复用，需配置48字节密钥文件、禁用ssl_session_cache、支持多密钥轮换，并通过openssl s_client验证new/reused状态。
在 Nginx 中启用 SSL 会话票据（Session Tickets），能显著提升 TLS 握手效率，尤其对短连接、高并发场景（如 API 服务、Web 应用）有明显加速效果。它让客户端在后续连接中复用之前协商的会话密钥，跳过完整的 TLS 握手，实现“0-RTT”或“1-RTT”快速恢复。
确认 OpenSSL 版本支持 Session Tickets
Nginx 依赖底层 OpenSSL 实现 Session Tickets。需确保 OpenSSL ≥ 1.0.1（推荐 ≥ 1.1.1），且编译 Nginx 时未禁用 TLS ticket 支持（默认开启）。可通过以下命令验证：
nginx -V 2>&1 | grep -o "OpenSSL [0-9.]*"
若版本过低（如 OpenSSL 1.0.0 或更早），Session Tickets 将无法生效，需升级 OpenSSL 并重新编译 Nginx。
在 server 块中启用并配置 session_tickets
Session Tickets 默认是开启的，但需显式配置以控制行为。在 listen 443 ssl 的 server 块中添加以下指令：
- ssl_session_tickets on; —— 启用票据功能（Nginx 1.5.9+ 默认为 on，但仍建议显式声明）
- ssl_session_ticket_key /path/to/ticket.key; —— 指定 80 字节的二进制密钥文件（用于加密/解密票据）
- ssl_session_timeout 4h; —— 配合票据使用，建议设为数小时（如 4h），避免频繁重协商
注意：ssl_session_ticket_key 文件必须是 80 字节的随机二进制数据（不可用文本或 base64 直接写入）。生成方式示例：
安全地重置 OpenClaw agent sessions，支持备份、预览、恢复和批量操作。用于：1) 清理过期的 agent 会话上下文，2) 重置特定 agents 的 session，3) 批量重置六部/秘书 sessions，4) 查看和恢复历史备份。当用户需要"reset session"、"清理 se...
openssl rand 80 > /etc/nginx/ssl/ticket.key
该文件需严格限制权限（如 chmod 600 /etc/nginx/ssl/ticket.key），防止密钥泄露导致票据被伪造解密。
多实例部署时的密钥同步要点
若使用多台 Nginx 负载均衡节点，所有节点必须使用完全相同的 ticket.key，否则客户端在某台机器上获得的票据，在另一台机器上无法解密，将退化为完整握手。常见做法：
- 将 ticket.key 作为配置文件的一部分统一分发（如通过 Ansible、GitOps 或配置中心）
- 避免自动生成或每次 reload 重置密钥（否则会批量失效已发放票据）
- 定期轮换密钥时，应采用“双钥共存”策略：先添加新 key，保留旧 key 一段时间（如 24 小时），再下线旧 key
验证 Session Tickets 是否生效
可通过 OpenSSL 命令模拟连接并检查票据交互：
openssl s_client -connect example.com:443 -tls1_2 -reconnect 2>/dev/null | grep "New, TLSv1.2, Cipher is" -A1
若看到连续两次连接都显示 New, TLSv1.2，说明未复用；若第二次显示 Reused, TLSv1.2，则票据已成功启用。也可用 Chrome DevTools 的 Security 标签页查看“Connection”是否标注 “(reused)”。
