Nginx HTTPS配置怎么开启OCSP Stapling加速证书状态验证-Nginx-PHP中文网

ocsp stapling 能减少150–300ms https握手延迟，需同时满足五项前提（证书含ocsp uri、nginx≥1.3.7、openssl≥1.0.1、时间误差≤±5分钟、证书链完整）并配置四条指令（ssl_stapling on、ssl_stapling_verify on、ssl_trusted_certificate、resolver），缺一不可，否则静默失效。

nginx https配置怎么开启ocsp stapling加速证书状态验证

开启 OCSP Stapling 不是加一行 ssl_stapling on 就能提速的开关，而是一套必须全部满足、协同工作的机制。它能让 Nginx 在 TLS 握手时，把 CA 签发的证书吊销状态（OCSP 响应）一并发送给客户端，省去浏览器自己查 OCSP 服务器的那一次网络请求，实测可减少 150–300ms 的首次 HTTPS 握手延迟。

确认五项基础前提是否全部满足

缺任何一项，stapling 都会静默关闭——Nginx 不报错、不警告，但实际不生效：

证书含有效 OCSP URI：运行 openssl x509 -in your.crt -text -noout | grep -A1 "OCSP"，输出中需有类似 OCSP - URI: http://ocsp.int-x3.letsencrypt.org
Nginx 版本 ≥ 1.3.7（生产建议 ≥ 1.11.0），OpenSSL ≥ 1.0.1（推荐 1.1.1+ 或更新版）
系统时间误差 ≤ ±5 分钟：用 chronyc tracking 或 ntpdate -q pool.ntp.org 检查
证书链完整：确保 ssl_certificate 指向的是域名证书 + 所有中间证书合并的 PEM 文件（如 Let’s Encrypt 的 fullchain.pem）
服务器能直连 OCSP 地址：用 curl -v http://ocsp.int-x3.letsencrypt.org 或 openssl ocsp -url http://ocsp.int-x3.letsencrypt.org -cert your.crt -CAfile fullchain.pem -text 测试，返回 responseStatus: successful

HTTPS server 块内写全四条核心指令

所有配置必须放在监听 443 的 server { listen 443 ssl; } 块内，不能写在 http 块顶层或 location 块中：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

ssl_stapling on;——显式启用装订功能
ssl_stapling_verify on;——强制校验 OCSP 响应签名、颁发者及有效期，防止伪造或过期数据被缓存
ssl_trusted_certificate /path/to/full-chain-trusted.pem;——指向仅含中间证书 + 根证书的 PEM 文件，顺序为中间证书在前、根证书在后；不能包含你的站点证书
resolver 1.1.1.1 8.8.8.8 223.5.5.5 valid=300s;——Nginx 不读 /etc/resolv.conf，必须显式指定至少两个 DNS；valid=300s 表示 DNS 缓存 5 分钟

特别注意两个易错点

这两个问题最常导致 stapling 静默失效，且日志提示极隐蔽：

ssl_trusted_certificate 内容必须纯净：只含中间证书和根证书，按顺序拼接（中间在前、根在后），不能混入站点证书，也不能复用 ssl_certificate 所指文件
resolver 必须能解析并连通 OCSP 域名（例如 ocsp.int-x3.letsencrypt.org）。若使用私有 CA 或内网环境，resolver 应指向可解析其 OCSP 地址的 DNS 服务