nginx反向代理强制只用tls 1.3需满足三要素：一是nginx编译链接的openssl≥1.1.1（通过nginx -v验证），二是proxy_ssl_protocols tlsv1.3单独配置禁用降级，三是后端服务及proxy_ssl_ciphers等配套支持tls 1.3专属套件并关闭会话复用。

要让 Nginx 反向代理到后端服务时**强制只用 TLS 1.3**，关键不是加个 proxy_ssl_protocols TLSv1.3 就完事——它必须配合 OpenSSL 版本、后端服务支持能力、以及协议降级防护一起生效。

确认底层依赖已就绪

Nginx 自身不实现 TLS，它调用编译时链接的 OpenSSL 库。即使系统装了 OpenSSL 3.0，若 Nginx 是用旧版（如 1.0.2）编译的，proxy_ssl_protocols TLSv1.3 会被静默忽略。

• 运行 nginx -V 2>&1 | grep OpenSSL，确认输出中 OpenSSL 版本 ≥ 1.1.1（推荐 ≥ 3.0）
• 如果版本偏低，需重新编译 Nginx 并指定新版 OpenSSL 路径，或改用 Ubuntu 22.04+/AlmaLinux 9 等自带高版本 OpenSSL 的发行版官方包
• 注意：openssl version 命令显示的是命令行工具版本，不能代表 Nginx 运行时实际使用的库

正确配置 proxy\_ssl\_protocols 指令

该指令控制 Nginx 作为客户端连接上游服务器时启用的 TLS 协议版本，作用于 location 或 server 块内，不影响客户端到 Nginx 的通信。

CPA Update - Secure CLI Proxy API Maintenance

安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。

下载

• 基础写法：proxy_ssl_protocols TLSv1.3; —— 明确只允许 TLS 1.3，禁用所有降级可能
• 不要写成 TLSv1.2 TLSv1.3，否则仍可能被不安全的协商机制触发回退（尤其在中间设备干扰下）
• 若后端是自建服务（如 PHP 网关），还需确保其 OpenSSL ≥ 3.0 并启用了双向认证与 TLS 1.3 强制模式：SSL_CTX_set_min_proto_version(ctx, TLS1_3_VERSION); SSL_CTX_clear_options(ctx, SSL_OP_NO_TLSv1_2);

配套加固：密钥交换与会话管理

TLS 1.3 不再支持传统 cipher suite 协商，但 Nginx 仍需通过 proxy_ssl_ciphers 限制可接受的加密组合，防止协商失败或意外降级。

• 推荐值：proxy_ssl_ciphers 'TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_128_GCM_SHA256';
• 禁用所有 TLS 1.2 及更早套件（如 ECDHE-RSA-AES256-SHA），避免混用导致行为不可控
• 建议关闭会话票据：proxy_ssl_session_reuse off;，因 TLS 1.3 的 0-RTT 有重放风险，生产环境慎用

验证是否真正生效

光看配置不等于成功。真实链路中任一环节不支持 TLS 1.3，都会导致连接失败或静默降级。

• 在 Nginx 日志中加入 $upstream_http_x_ssl_protocol（需后端返回该头）或使用 tcpdump 抓包分析 ClientHello/ServerHello 中的 protocol version 字段
• 测试工具推荐：openssl s_client -connect backend-host:443 -tls1_3 直连后端，确认能完成握手
• 若出现 SSL routines:tls_process_server_hello:wrong version number，大概率是后端未启用 TLS 1.3 或 Nginx 实际链接了旧 OpenSSL