nginx 不提供 ocsp stapling 成功率日志，因其采用后台异步无状态缓存机制，失败仅记录 warn/error 级别错误且不绑定请求；可通过 error log 关键词定位问题，并借助 openssl、curl、ssl labs api 或定时脚本实现间接监控。
Nginx 本身不提供原生的 OCSP Stapling 日志格式配置项，也无法直接统计“OCSP 获取成功率”这类运行时指标。它对 OCSP 的处理是后台异步、无状态缓存的：成功获取并验证后就缓存响应，失败则静默跳过（不阻塞握手），且不记录详细过程日志——这是设计使然，不是遗漏。
为什么 Nginx 不输出 OCSP 成功率日志
OCSP Stapling 在 Nginx 中属于 TLS 握手辅助机制，其生命周期独立于请求日志流：
- OCSP 响应由 worker 进程在后台按需拉取、验证、缓存，不绑定具体 HTTP 请求
- 失败时（如 DNS 解析超时、OCSP 服务器不可达、签名校验失败）Nginx 仅在 error log 中写一条 warn 或 error 级别提示，且只在首次尝试或缓存过期后重试时触发，不会为每个 TLS 握手记录一次“是否装订成功”
- 没有类似 $ssl_stapling_status 的内置变量，无法写入 access_log
能用的日志线索与间接统计方法
虽然不能直接统计“成功率”，但可通过 error log 中的固定关键词定位问题环节，进而反推稳定性：
- no resolver defined：缺失 resolver 指令，stapling 完全不工作
- resolver timeout 或 DNS server returned error：DNS 解析失败，常见于网络策略或 resolver 配置不当
- verify error（如 verify error:num=10:certificate has expired）：ssl_trusted_certificate 文件内容错误（顺序错、含站点证书、缺少中间证书等）
- no response from OCSP responder：OCSP 服务器无响应（地址不通、防火墙拦截、CA 服务临时故障）
- stapling ignored：证书不含有效 OCSP URI，或系统时间偏差 >±5 分钟
你可以用如下命令实时观察关键错误：
tail -f /var/log/nginx/error.log | grep -i -E "(ocsp|stapling|resolver|verify)"真正可落地的监控建议
依赖日志统计成功率不现实，更可靠的方式是结合外部工具做端到端验证：
- 用 openssl s_client -connect example.com:443 -status -servername example.com 手动测试，检查输出中是否含 OCSP response: successful (0x0) 和 CertStatus: good
- 用 curl -I https://example.com + 抓包（Wireshark/TCPdump）看 TLS handshake ServerHello 是否携带 status_request 扩展及对应 OCSP 响应
- 定期调用 SSL Labs API（https://api.ssllabs.com/api/v3/analyze?host=example.com）查返回 JSON 中 ocspStapling 字段是否为 true
- 写简单脚本每小时执行一次 openssl 测试，成功则记 1，失败记 0，汇总 24 小时数据即得近似成功率
