ocsp stapling配置不会因语法错误导致nginx启动失败，但缺resolver、ssl_trusted_certificate路径错误或证书链不全等逻辑缺失，会引发worker静默退出、tls握手卡顿，最终表现为502或超时；nginx -t无法检测此类问题，需结合error.log关键词（如“no resolver defined”）、证书ocsp uri验证、dig解析测试及openssl s_client实测响应确认是否生效。
OCSP Stapling 配置本身不会因语法错误导致 Nginx 启动失败或直接报错，但它极易因“逻辑缺失”引发网关级异常——比如平滑 reload 后 worker 进程静默退出、TLS 握手卡顿、客户端持续发起外部 OCSP 查询，最终表现为 502 Bad Gateway 或连接超时。这类问题不是配置写错了分号，而是关键依赖没到位，Nginx 在运行时校验失败却不提示，只能靠日志和实测定位。
看 nginx -t 是否有误导性“通过”
执行 nginx -t 只检查基础语法（括号、分号、块嵌套），只要写法合规，就会显示 syntax is ok。但 OCSP Stapling 的四条指令：ssl_stapling on;ssl_stapling_verify on;ssl_trusted_certificate /path/to/trust-chain.pem;resolver 1.1.1.1 8.8.8.8 valid=30s; resolver_timeout 5s;
哪怕漏掉任意一条，或路径写错、证书链不全，nginx -t 仍会通过，而 nginx -s reload 却可能让新 worker 无法启动或立即崩溃。
查 error.log 里真正的失败线索
reload 后立刻查看错误日志：tail -n 30 /var/log/nginx/error.log
重点关注以下关键词：
-
no resolver defined → 缺少
resolver指令，DNS 解析阻塞握手 -
issuer certificate not found →
ssl_trusted_certificate文件缺失中间证书或根证书 - SSL_CTX_set_ocsp_status_callback failed → OpenSSL 初始化 stapling 失败，常因版本过低或模块未启用
- ssl_stapling ignored, no OCSP responder URL → 证书未嵌入 OCSP URI（AIA 扩展）
验证证书链与 OCSP 支持是否真实就绪
不能只看文件存在，要确认内容有效：
- 用
openssl x509 -in /etc/nginx/ssl/fullchain.pem -text -noout | grep -A1 "OCSP"确保证书含 OCSP - URI: 行 - 检查
ssl_certificate文件是否包含域名证书 + 中间证书（顺序：域名证书在前，中间证书紧随其后） - 确认
ssl_trusted_certificate是独立文件，仅含中间证书 + 根证书（不含域名证书），且可用openssl verify -CAfile验证链完整性 - 手动测试 resolver 是否能解析 OCSP 域名：
dig @1.1.1.1 ocsp.int-x3.letsencrypt.org +short
用 OpenSSL 实测 Stapling 是否真生效
别信配置，要抓响应：
- 运行：
openssl s_client -connect example.com:443 -status -servername example.com 2>&1 | grep -A 5 "OCSP response" - 若输出卡住数秒才返回，或出现 OCSP response: no response sent，说明配置未触发或被跳过
- 若返回 OCSP Response Status: successful (0x0) 并带响应体，说明已装订成功
- 若返回 verify error:num=13:invalid certificate purpose，说明
ssl_trusted_certificate中证书用途不匹配（如用了终端证书而非 CA 证书）
