OCSP 装订超时 首字节多等两秒才出

ssl_stapling on;
ssl_stapling_verify on;
resolver 223.5.5.5 119.29.29.29 valid=300s;
resolver_timeout 2s;

开了 ssl_stapling 之后，首页 TTFB 从两百毫秒涨到两秒多，日志里隔一阵就有一条 OCSP 响应超时。这类现象通常不是突然出现的，往前翻半天日志能看到苗头。

追下去是这么回事：nginx 启动时会去 CA 的 OCSP 地址取响应，链路到国外节点不稳，取不到就阻塞握手直到超时。装订没成功，浏览器还得自己再查一次。

「OCSP 装订超时」确认了原因之后，改动尽量只碰那一处，顺手改的东西后面最容易出问题。同类问题如果隔一段时间又出现，多半是某个定时任务或重启流程把改动冲掉了。

把这次用到的命令存进笔记，比记住结论有用，换个环境还能照着走。改完隔一天再看一次，当场正常不代表能稳住。

处理上按这个顺序：确认 ssl_stapling_verify 打开，同时把 resolver 指向本地可用的 DNS，不要用默认值；用 openssl 手动拉一次 OCSP 响应，看是不是 CA 地址本身访问慢；CA 地址长期不通就把装订关掉，让客户端自己查，比卡住握手强。

确认没问题再收工，首页 TTFB 回到三百毫秒以内，error.log 不再出现 OCSP 超时。