Nginx配置OCSP Stapling需满足五前提（版本、证书扩展、时间、证书链、DNS解析器）并同时启用四项指令，缺一不可；否则静默失效。
在 Nginx 中配置 OCSP Stapling 能显著缩短 TLS 握手时间（通常减少 150–300ms），同时避免客户端直连 CA 查询吊销状态，保护用户访问隐私。它不是加一两行就能生效的功能，必须满足前提、配齐关键项、避开常见陷阱。
确认基础条件是否全部满足
缺一不可，否则 stapling 会静默失效：
- Nginx 版本 ≥ 1.3.7；生产环境建议 ≥ 1.11.0（错误处理更健壮）
- OpenSSL ≥ 1.0.1；推荐使用 1.1.1 或 3.0+ 版本
- 你的 SSL 证书需含 authorityInfoAccess 扩展（内嵌 OCSP 响应器地址），可用命令验证：
openssl x509 -in your.crt -text -noout | grep -A1 "OCSP" - 服务器系统时间误差不超过 ±5 分钟（OCSP 响应有效期严格）
- 证书链完整：要么
ssl_certificate指向包含域名证书 + 中间证书的 PEM（如 Let’s Encrypt 的fullchain.pem），要么用ssl_trusted_certificate单独指定可信链
必须同时配置的四项核心指令
仅写 ssl_stapling on 是无效的。这四行要一起出现在 HTTPS 的 server 块中，路径和顺序不能错：
-
ssl_stapling on;—— 显式启用 stapling 功能（默认关闭） -
ssl_stapling_verify on;—— 强制校验 OCSP 响应签名、颁发者和有效期，防伪造或中间人篡改 -
ssl_trusted_certificate /path/to/ca-bundle.pem;—— 指向专用于验证 OCSP 响应的证书链，内容须按顺序：中间 CA 在前、根 CA 在后（不能直接复用ssl_certificate文件） -
resolver 8.8.8.8 1.1.1.1 223.5.5.5 valid=300s;—— 必须显式声明 DNS 解析器（Nginx 不读/etc/resolv.conf），多个地址提升容错性；建议追加resolver_timeout 5s;防止 DNS 卡住握手
验证与排错要点
两个环节最容易“看似配置成功，实则未生效”：
- 若没配
resolver，Nginx 日志只会提示no resolver defined to resolve OCSP responder hostname，然后自动关闭 stapling，无任何 TLS 错误 -
ssl_trusted_certificate若缺失中间证书、顺序颠倒、或混用私钥证书文件，会导致ssl_stapling_verify on校验失败，stapling 被跳过 - 验证是否生效：用
openssl s_client -connect example.com:443 -status -servername example.com 2>&1 | grep -i "ocsp response"，看到OCSP Response Status: successful表示正常
实用配置示例（适用于 Let’s Encrypt 场景）
假设证书路径为 /etc/letsencrypt/live/example.com/fullchain.pem 和 /etc/letsencrypt/live/example.com/privkey.pem：
server {
listen 443 ssl;
server_name example.com;
<pre class="brush:php;toolbar:false;">ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
resolver 8.8.8.8 1.1.1.1 valid=300s;
resolver_timeout 5s;
# 其他 SSL 安全配置（如协议、加密套件等）
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:...;}
