如何设置Nginx的ssl_ciphers，在兼顾旧设备兼容性与极致安全之间达到黄金比例？
- 内容介绍
- 文章标签
- 相关推荐
本文共计1130个文字，预计阅读时间需要5分钟。
直接说结论：
为什么 ssl_ciphers 对 TLS 1.3 完全无效
TLS 1.3 彻底重构了密钥交换与加密套件机制，它只允许五种标准化组合（如 TLS_AES_128_GCM_SHA256），这些由 OpenSSL 内部硬编码实现，ssl_ciphers 指令对其完全不生效。Nginx 启动时若在 ssl_ciphers 中写入 TLS 1.3 套件名（比如带 TLS13- 前缀的），不会报错但也不会被采用；写入旧版套件（如 AES256-SHA）更不会触发 TLS 1.3 回退——协议版本由 ssl_protocols 控制，cipher 只影响 TLS 1.2 协商结果。
本文共计1130个文字，预计阅读时间需要5分钟。
直接说结论：
为什么 ssl_ciphers 对 TLS 1.3 完全无效
TLS 1.3 彻底重构了密钥交换与加密套件机制，它只允许五种标准化组合（如 TLS_AES_128_GCM_SHA256），这些由 OpenSSL 内部硬编码实现，ssl_ciphers 指令对其完全不生效。Nginx 启动时若在 ssl_ciphers 中写入 TLS 1.3 套件名（比如带 TLS13- 前缀的），不会报错但也不会被采用；写入旧版套件（如 AES256-SHA）更不会触发 TLS 1.3 回退——协议版本由 ssl_protocols 控制，cipher 只影响 TLS 1.2 协商结果。