FrankenPHP的HTTPS握手慢从哪几方面排查-php教程-PHP中文网

frankenphp https 握手慢本质是 caddy tls 栈问题，需聚焦 tls 配置：检查是否卡在 client hello、禁用低效曲线（如 secp384r1）、启用 x25519/secp256r1、确保 ocsp stapling 正常（显式配置 resolver 和完整中间证书）、验证 alpn 协商（h2/h3）。

frankenphp的https握手慢从哪几方面排查

FrankenPHP 的 HTTPS 握手慢，本质不是 FrankenPHP 自身“卡”，而是它继承的 Caddy TLS 栈在协商、验证或调度环节出了问题。排查必须聚焦在 Caddy 层面的 TLS 配置与运行时环境，不能当成 PHP 代码或框架问题去调。

看 `curl -w` 输出确认是否真卡在握手

先排除 DNS、网络、证书链缺失等前置问题，避免误判：

运行 curl -vI https://your-domain.com --http1.1，观察输出中是否卡在 * TLS handshake, Client hello (1) 这一行；若卡住几秒后报 SSL connect error 或 SSL handshake timeout，才是真握手慢
若卡在 * Trying xxx.xxx.xxx.xxx:443...，说明 TCP 连接失败，查防火墙、端口、负载均衡器或后端监听配置
若出现 * Could not resolve host，是 DNS 解析失败，需检查 Caddy 启动时用的 DNS（默认走系统 resolv.conf，内网常不准）

检查 Caddy TLS 协商参数是否拖慢首次连接

Caddy 默认启用 TLS 1.3，但若客户端老旧或中间设备拦截，可能被迫降级到 TLS 1.2 并触发完整握手。关键点在密码套件和密钥交换匹配效率：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

ssl_ciphers 和 ssl_conf_command Curves 类配置在 FrankenPHP 中不可直接写——Caddy 的 TLS 参数必须通过 { servers { tls ... } } 块或环境变量控制，硬编码进 Caddyfile 才生效
禁用低效曲线：确保没启用 secp384r1 或 secp521r1，它们计算开销比 X25519 高 3–5 倍；在 Caddyfile 全局块加：tls { curves X25519 secp256r1 }
避免 RSA 密钥交换：如果证书是 RSA 签发且未配 ECDHE，握手会多一次非对称运算；优先用 ECDSA 证书，或至少确保 ssl_ciphers 中不包含 RSA 套件

验证 OCSP Stapling 是否失效并退化为在线查询

FrankenPHP 复用 Caddy 的 OCSP Stapling 实现，一旦 stapling 失败，Caddy 会静默退回到客户端直连 CA 查询，单次增加 200–600ms 延迟，且无法被缓存：

检查 Caddy 日志是否有 stapling failed 或 OCSP response expired；没有日志则加 log { output stdout } 开启调试
resolver 必须显式配置且可用：Caddy 不读 /etc/resolv.conf，要在 Caddyfile 写 tls { resolver 8.8.8.8 1.1.1.1 }，否则 stapling 初始化就失败
ssl_trusted_certificate 路径必须指向含完整中间 CA 的 PEM 文件（域名证书不能在里面），否则验证失败导致 stapling 拒绝装订

确认 HTTP/2 或 HTTP/3 是否因 ALPN 协商异常引发重试

FrankenPHP 默认启用 HTTP/2，HTTP/3 需手动开启；但若 ALPN 协商失败，Caddy 可能回退并重试，造成感知延迟：

用 curl -I --http3 https://your-domain.com 测试 HTTP/3，若返回 alt-svc 头但响应慢，说明 QUIC 握手成功但后续流阻塞——此时要关掉 HTTP/3 单独测 HTTP/2，排除 UDP 丢包或防火墙干扰
检查 openssl s_client -connect your-domain.com:443 -alpn h2 是否返回 ALPN protocol: h2；若返回空，说明服务端未正确通告 ALPN，可能是 Caddy 版本太老（
HTTP/3 启用后，Caddy 会监听 UDP 443，若宿主机或云厂商安全组未放行 UDP 流量，客户端会降级重试 TCP，造成明显延迟抖动

最易被忽略的是：FrankenPHP 进程本身不参与 TLS 握手，所有耗时都在 Caddy 的 Go net/http/tls 层。一旦看到握手慢，第一反应不应该是调 PHP 或 worker 数，而是把 Caddy 当成一个独立 HTTPS 服务器去压测和抓包——比如用 openssl s_time -connect your-domain.com:443 -new 直接测完整握手耗时，结果不理想，问题就一定出在 Caddy 配置或系统 TLS 库上。