nginx 不会因证书被吊销而拒绝连接，仅负责装订并发送 ocsp 响应；是否中断访问由客户端自主判断，nginx 既不解析 certstatus 字段，也不执行访问控制。
OCSP Stapling 本身不会让 Nginx 主动拒绝客户端连接，即使证书被吊销（Revoked），Nginx 也**不会中断 TLS 握手或返回错误**。它只负责“装订”并发送 OCSP 响应；是否拒绝访问，完全由客户端（如浏览器）自主决定。
为什么 Nginx 不会因 Revoked 状态拒绝连接
Nginx 的 OCSP Stapling 是单向响应机制：它从 CA 获取 OCSP 响应、缓存、并在 TLS 握手时附带发送给客户端。它不解析该响应内容，也不根据 CertStatus 字段（good / revoked / unknown）做任何访问控制。
也就是说：
- 即使 OCSP 响应明确返回 CertStatus: revoked，Nginx 仍照常完成握手、建立连接、转发请求
- 客户端收到 stapled 响应后，才自行判断——主流浏览器（Chrome、Firefox、Safari）通常会直接终止连接并显示“您的连接不是私密连接”等警告页
- Nginx error.log 中不会记录 Revoked 相关错误，也不会出现
SSL_do_handshake() failed因此状态触发的条目
真正需要排查的其实是“客户端看到 Revoked 后的行为异常”
如果你观察到用户访问白屏、连接中断、或浏览器报证书错误，但 Nginx 日志一切正常，说明问题发生在客户端侧。此时应确认：
-
证书确实已被吊销：用
openssl x509 -in your.crt -noout -text | grep -A1 "Serial Number"查序列号，再登录对应 CA 控制台（如 Let’s Encrypt 的 crt.sh）核验当前状态 -
OCSP 响应是否真实有效且含 Revoked：用命令手动获取并解析：
openssl ocsp -issuer chain.pem -cert fullchain.pem -url http://ocsp.int-x3.letsencrypt.org/ -text
输出中需包含Cert Status: revoked和有效时间戳（This Update/Next Update） -
客户端是否实际收到了 stapled 响应：运行
openssl s_client -connect example.com:443 -status -servername example.com，查看输出是否有OCSP response: successful (0x0)及其下方的CertStatus: revoked
哪些配置失误会导致“看似 Revoked 导致失败”，实则为其他原因
常见误判场景包括：
- ssl_stapling_verify on 但 ssl_trusted_certificate 不匹配：Nginx 校验 OCSP 响应签名失败 → 静默禁用 stapling → 客户端被迫自行查询 → 若此时 CA OCSP 服务不可达或网络受限，客户端可能超时卡顿，误以为是“Revoked 引发失败”
- 系统时间偏差 > ±5 分钟：OCSP 响应内含严格有效期，时间错则校验失败 → stapling 被跳过 → 同上，客户端直查失败
- resolver 不可达或无法解析 OCSP 域名：Nginx 首次预取或刷新 OCSP 响应失败 → 缓存为空 → 握手时不发送 stapling → 客户端兜底查询，易失败
如何验证 Nginx 行为是否符合预期
只需两步确认 Nginx 没有“越权拦截”：
- 在浏览器打开站点，F12 打开 DevTools → Security 标签页 → 查看“Certificate” → 点击“Details” → 检查 “OCSP Response” 是否存在且状态为 revoked（若存在）
- 同时抓包（如 Wireshark 或
tshark -i any port 443）观察 TLS 握手中是否携带status_request_v2扩展及对应 OCSP 响应载荷 —— 若有，说明 Nginx 已发出；后续断连一定是客户端行为
