当有人访问你的站点时，浏览器会检查 SSL 证书是否仍然有效——它通过询问证书颁发机构（CA）的服务器或下载已吊销证书列表来完成。这个额外步骤会拖慢速度，造成安全连接过程中的延迟。OCSP 装订（OCSP Stapling）通过让 Web 服务器直接提供最近的验证响应来解决这一问题，使过程更快更高效。本文涵盖 OCSP 装订的概念、工作原理概述，以及各类 Web 服务器的配置步骤。
SSL 验证中的在线证书状态协议（OCSP）检查是什么？
OCSP 检查（OCSP 请求）用于验证 X.509 数字证书（包括签发 CA 的 SSL 证书）的吊销状态。早期安全实践是下载冗长的证书吊销列表（CRL），OCSP 让这一过程更快——它允许浏览器直接向 CA 的 OCSP 响应服务器询问证书状态，若已吊销，服务器会提示浏览器阻断连接。尽管 OCSP 比 CRL 提供更新鲜的验证，但仍存在性能问题：每个客户端都必须向 OCSP 响应器发送请求，在高峰流量时会增加延迟并加重 CA 基础设施负担。为克服 OCSP 的性能局限，人们开发了 OCSP 装订这一更新方案。
什么是 OCSP 装订，为何重要？
OCSP 装订（正式名称为 TLS 证书状态请求扩展）是 Web 服务器检查 SSL 证书吊销状态的一种方式。它主动从 CA 获取一份经数字签名、带时间戳的 OCSP 响应，用户无需等待单独的验证步骤。通常浏览器需联系 CA 验证证书，而 OCSP 装订由服务器提前完成并缓存响应，在 SSL/TLS 握手时提供该缓存响应。服务器上这一预取并缓存的 OCSP 响应指示证书有效、已吊销还是未知。当客户端发起 SSL/TLS 连接时，它被包含在握手的 ServerHello 消息中。客户端随后可快速检查装订 OCSP 响应的签名与时间戳，无需再向 CA 建立单独的外部连接，从而减少额外的网络请求与延迟。将 OCSP 响应「装订」到握手过程，正是该技术名称与性能优势的由来。
OCSP 装订如何优化 SSL 验证——简要步骤
通过 OCSP 装订，Web 服务器从客户端接管向 CA 查询的职责，消除了客户端各自查询 CA 的依赖。流程拆解如下：
第 1 步：服务器查询 CA 的 OCSP 响应器
Web 服务器定期向证书颁发机构请求 OCSP 响应，以检查所给证书的有效性状态，从而在安全连接中使用证书前获取最新状态。
第 2 步：CA 提供签名 OCSP 响应
CA 的 OCSP 响应服务器返回一份经数字签名的状态响应，确认证书有效或已吊销，这一签名响应维护了证书状态的完整性与可信度。
第 3 步：服务器缓存 OCSP 响应
服务器将 OCSP 响应存储至其过期（通常几小时或几天）。缓存减少了与 CA 的持续通信，提升服务器性能。
第 4 步：服务器将 OCSP 响应「装订」到 SSL 握手
客户端发起的安全连接触发服务器响应，将 OCSP 响应附加到 SSL 握手，使客户端无需联系 CA 即可验证证书状态。
第 5 步：客户端验证响应
浏览器检查 OCSP 响应是否有效，若证书良好则连接继续；若无效或已吊销，出于安全通常会阻断连接。
如何在 Windows Server 上验证与配置 OCSP 装订？
最新版 Windows Server 已默认启用 OCSP 装订，无需自行设置，但它仅对分配给服务器 IP 与域名的主证书生效。安装证书后，需确认服务器在未启用服务器名称指示（SNI）的情况下使用 OCSP 装订。禁用 SNI 的步骤：打开 IIS 管理器并选择要启用 OCSP 装订的网站 → 点击菜单中的「绑定」→ 双击与证书关联的条目 → 取消勾选「需要服务器名称指示」选项 → 点击确定并重启 IIS → 运行 SSL Labs 测试检查 OCSP 装订是否已启用，若已启用，「OCSP Must Staple」字段旁会显示「是」。
如何在 Apache Web 服务器上启用 OCSP 装订？
Apache 的 OCSP 装订配置很简单：编辑 Apache 的 VirtualHost SSL 配置文件（通常位于 /etc/apache2/apache2.conf），在 <VirtualHost></VirtualHost> 块外添加以下行：
SSLStaplingCache shmcb:/tmp/stapling_cache(128000)并在 <VirtualHost></VirtualHost> 块内添加该行：
SSLStaplingCache shmcb:/tmp/stapling_cache(128000)重启 Apache 使更改生效：
systemctl restart apache2运行 SSL Labs 测试检查 OCSP 装订是否启用，若已激活，「OCSP Must Staple」字段旁会显示「是」。
如何在 NGINX 上启用 OCSP 装订？
在 NGINX 上启用 OCSP 装订：确保 NGINX 编译时支持 OpenSSL；在 server 块中修改 SSL 配置：
ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /path/to/ca-certificates.crt;
resolver 8.8.8.8 8.8.4.4 valid=300s;
resolver_timeout 5s;重启 NGINX 使更改生效：
systemctl restart nginx运行 SSL Labs 测试检查 OCSP 装订是否启用，若已激活，「OCSP Must Staple」字段旁会显示「是」。
OCSP 装订的优缺点
OCSP 装订对网站性能与安全有诸多益处，但使用前需评估潜在问题：
优势
性能提升：降低延迟、加速 SSL/TLS 握手，页面加载时间减少，用户体验改善。减轻 CA 负担：缓解 CA 基础设施负载，让证书颁发机构有余力专注其他重要任务。增强隐私：避免客户端向 CA 暴露所访问网站，额外安全层使任何人都极难追踪在线活动。提升安全：确保客户端获取最新吊销信息，通过阻断已吊销证书访问来保护用户免受安全威胁。
劣势
服务器配置：需在 Web 服务器上正确设置，配置不当会导致证书验证与装订问题。短期 OCSP 响应：服务器必须定期更新 OCSP 响应以避免使用过期内容，意味着需额外维护以保持最新响应。CA 依赖：服务器仍需依赖 CA 的 OCSP 响应服务器获取初始响应，若 CA 服务器宕机，可能造成证书验证延迟。
哪些浏览器支持 OCSP 装订？
OCSP 装订在现代浏览器与客户端中广泛支持：Opera 8.0 及以上；Firefox 3.0 及以上默认启用；Internet Explorer 7.0 及以上默认启用；Safari 在 Mac OS X 10.7 及以上默认启用；Google Chrome 默认启用。需注意，尽管绝大多数现代客户端支持 OCSP 装订，旧客户端可能不支持；若强制启用 OCSP Must Staple，可能导致连接错误，因此建议用多种客户端测试你的实现。
结语
OCSP 装订是一项重要优化，在 SSL 证书验证中兼顾安全、隐私与性能。它减少了对证书颁发机构的查询，在保护用户数据的同时提供高速浏览。所有网站所有者都应在 Windows Server 以及 Apache、NGINX 平台上启用 OCSP 装订，以最大化安全防护措施；实施后，你的网站便为用户提供强化后的 SSL 安全特性。