基于国密Nginx配置OCSP Stapling，可以让服务器在TLS握手时主动提供证书的吊销状态，从而有效提升验证速度。
开启OCSP Stapling后，将原本由客户端（如浏览器）发起的实时查询转移到服务端进行，因此能显著缩短握手延迟，提升用户体验。实测表明，该技术可减少10%至30% 的握手延迟，在一些优化良好的场景下，其效果如同将网络延迟“折叠”了起来，能直接减少150至300毫秒的时间。
一、前提：构建国密Nginx基础环境
Nginx官方版本不支持国密，需使用集成国密算法的第三方版本（如nginx-gm）或自行编译。
核心是替换密码库，使用GmSSL源码替换系统OpenSSL编译Nginx，并确认国密算法（SM2/SM4/SM3）和GMTLS协议等都已加载成功。同时，在申请国密证书时，需确保得到包含签名证书、加密证书及完整国密证书链的压缩包。
二、实施：OCSP Stapling专项配置
在完成国密环境部署后，在Nginx配置文件的`server`块内添加以下OCSP Stapling相关指令。所有指令都必须放在`server`块内部。
nginx
server {
listen 443 ssl;
server_name your-domain.com;
# 1. 签名证书和私钥
ssl_certificate /path/to/your-server-sign.crt;
ssl_certificate_key /path/to/your-server-sign.key;
# 2. 加密证书和私钥 (国密双证书)
ssl_certificate /path/to/your-server-encrypt.crt;
ssl_certificate_key /path/to/your-server-encrypt.key;
# 3. 指定解析器 (Resolvers)
# Nginx不会自动读取系统的/etc/resolv.conf，必须明确指定DNS服务器。建议使用国内稳定、可靠的公共DNS，如下所示：
resolver 114.114.114.114 223.5.5.5 valid=300s;
resolver_timeout 5s;
# 4. 开启OCSP Stapling
ssl_stapling on;
ssl_stapling_verify on;
# 5. 指定用于验证OCSP响应的证书链文件
# 必须提供一个包含根证书和所有中间证书的完整PEM文件
# (注意：此文件可能不同于签名/加密证书文件)
ssl_trusted_certificate /path/to/complete-chain.crt;
# 其余站点配置...
}
三、配置参数详解
`resolver`：用于解析OCSP响应器的域名。必须显式声明`valid`参数来设置DNS缓存有效期，防止因频繁查询而拖慢首次握手。
`resolver_timeout`：DNS解析的超时时间，防止网络问题卡住TLS握手进程。
`ssl_stapling`：OCSP Stapling的总开关。
`ssl_stapling_verify`：Nginx会验证从CA获取的OCSP响应的有效性（签名、时效等）。
`ssl_trusted_certificate`：这是除加密套件外最关键的部分！Nginx需要证书链来验证OCSP响应是否由受信任的CA签发，因此必须提供完整的根证书和中间证书。
四、常见配置问题排查
OCSP响应中无Nonce扩展：当使用`ssl_stapling_file`手动加载本地响应时，Nginx本身不添加nonce。客户端若发起带nonce的OCSP请求，因响应中无nonce会拒绝装订的响应。这可能导致Nginx回退到客户端直连OCSP，影响性能。
证书链不完整或顺序错误：Nginx要求`ssl_trusted_certificate`文件包含从根证书到服务器证书的完整链。缺失中间证书会导致验证失败，Nginx无法构建验证路径，从而拒绝装订响应。
网络连接问题：Nginx工作进程因防火墙等无法访问OCSP响应器，会导致OCSP查询失败，从而静默禁用Stapling功能。
时间同步问题：服务器时间与CA时间偏差过大（超过5分钟），会导致Nginx认为获取的OCSP响应（有严格有效期）无效，从而拒绝Stapling。
证书不含OCSP扩展：某些旧版或配置有误的证书在`Authority Information Access`扩展中缺失OCSP响应器URL，这样Nginx就无法知道该向谁查询证书状态。
五、升级方案：使用`ssl_stapling_file`本地缓存
通常，Nginx仅在启动/重载时及每次响应过期后查询CA，这仍存在潜在的延迟或失败风险。更高级的优化方案是完全脱离Nginx的自动查询机制，手动获取OCSP响应并让Nginx从本地读取，即`ssl_stapling_file`方案。
此方案还能降低CA服务器的压力，提升在网络隔离等复杂环境下的可靠性。
步骤详解
1. 手动获取OCSP响应
首先找出你域名证书的OCSP响应器地址：
bash
openssl x509 -in your-server-sign.crt -text -noout | grep -A1 "OCSP"
# 输出示例：OCSP - URI:http://ocsp.example.com
知道了OCSP地址和证书链后，手动获取响应并保存到文件（例如`/path/to/ocsp.response`）：
bash
openssl ocsp -no_nonce \
-issuer intermediate-ca.crt \
-cert your-server-sign.crt \
-url http://ocsp.example.com \
-resp_text -respout /path/to/ocsp.response
关键点：这里的`-no_nonce`参数非常重要，它确保生成的响应不含nonce，兼容性更好。
保存的`/path/to/ocsp.response`文件即为可用的OCSP响应，需定期通过定时任务（cron job）更新。
2. 配置Nginx使用本地文件
配置Nginx的相关指令。此方式下，Nginx将完全依赖此文件，无需实时网络查询。
nginx
server {
# ... 其他SSL配置 ...
# 使用ssl_stapling_file加载本地响应文件
ssl_stapling_file /path/to/ocsp.response;
# 可以同时保留ssl_stapling、ssl_stapling_verify和resolver作为备用，
# 但建议只使用文件来获得完全可控的效果。
# ssl_stapling on;
# ssl_stapling_verify on;
# resolver ...;
}
六、验证与监控
配置后使用`nginx -t`检查配置语法，通过后再重载Nginx。
1. 命令行验证：
bash
openssl s_client -connect your-domain.com:443 -status -servername your-domain.com 2>&1 | grep -A 2 "OCSP response"
成功：输出包含 `OCSP response: successful (0x0)` 和 `CertStatus: good`。
未开启：输出不含上述信息。
失败：输出中可能出现`OCSP response: failed`等错误提示。
2. 在线工具检测：访问[SSL Labs](https://www.ssllabs.com/ssltest/)等检测工具，输入域名后，在报告中查找 OCSP stapling 栏目，若显示为 Yes (or Success) 则配置成功。
核心注意事项
CA的OCSP服务必须工作正常：无论是自动查询还是手动获取，CA的OCSP响应器都必须处于可用状态。`ssl_stapling`模式需保持服务高可用，`ssl_stapling_file`模式则需在响应过期前成功获取到有效响应。
正确设置`ssl_trusted_certificate`：这个文件必须正确配置。它不应包含你的国密签名或加密证书，而应就是该证书的完整颁发链，即从根证书直到为你签发证书的中间CA证书的完整文件。
`ssl_stapling_file`保持更新：如果使用本地文件模式，务必建立自动化更新机制。OCSP响应有有效期（通常几小时到几天），过期后若未更新，Stapling将失效。
现在，你可以根据这些步骤测试开启国密网站的OCSP Stapling了。如果对配置中某个具体环节有疑问，或者部署时遇到了报错，可以告诉我更详细的信息，我会为你提供更具体的排查建议。
