Nginx必须满足苹果ATS四项硬指标：TLS≥1.2、证书签名≥SHA256、加密套件支持前向保密、推荐启用OCSP Stapling；配置后需用nscurl验证全绿，证书链须完整，CDN/WAF终止点也需合规。
要让 iOS 应用通过 App Store 审核并稳定运行，Nginx 服务端必须满足苹果 ATS 的硬性安全标准。这不是前端改个协议就能解决的事——核心在服务器 TLS 协议版本、加密套件、证书签名强度这三块。只要其中任一环节不达标，iOS 9+ 设备发起的 HTTPS 请求就会直接失败，报错 kCFStreamErrorDomainSSL, -9802 或 -9801。
Nginx 必须满足的 ATS 四项硬指标
苹果 ATS 对后端没有商量余地，Nginx 配置必须同时符合以下全部要求：
- TLS 版本 ≥ 1.2：禁用 TLSv1.0 和 TLSv1.1，只允许 TLSv1.2 及以上（iOS 10+ 已支持 TLSv1.3，建议启用）
- 证书签名算法 ≥ SHA256：RSA 密钥长度 ≥ 2048 位，或 ECC 密钥 ≥ 256 位；自签名/SHA1 证书一律不被接受
- 加密套件支持前向保密（Forward Secrecy）：必须包含 ECDHE 或 DHE 类密钥交换算法，禁用静态 RSA 密钥交换
- OCSP Stapling 启用（推荐）：减少证书状态验证延迟，提升握手成功率，尤其对弱网环境友好
Nginx 正确配置示例（含注释）
以下为生产环境可用的最小安全配置片段，适用于 OpenSSL 1.1.1+ 和 Nginx 1.16+：
server {
listen 443 ssl http2;
server_name api.example.com;
<pre class="brush:php;toolbar:false;"># 证书路径（必须是 PEM 格式链证书，含中间 CA）
ssl_certificate /etc/nginx/ssl/example.com/fullchain.pem;
ssl_certificate_key /etc/nginx/ssl/example.com/privkey.pem;
# 强制 TLS 1.2+，禁用所有老旧协议
ssl_protocols TLSv1.2 TLSv1.3;
# 仅启用支持前向保密的加密套件（按优先级排序）
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384;
# 禁用不安全的协商方式
ssl_prefer_server_ciphers off;
# 启用 OCSP Stapling（需确保上游 CA 支持 OCSP 响应）
ssl_stapling on;
ssl_stapling_verify on;
resolver 8.8.8.8 1.1.1.1 valid=300s;
resolver_timeout 5s;
# HSTS（强制浏览器后续只走 HTTPS，有效期建议至少 31536000 秒）
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
# 其他业务配置...
}
常见踩坑与验证方法
光写对配置不够，必须验证是否真正生效：
-
用 nscurl 测 ATS 兼容性：在 macOS 终端执行
/usr/bin/nscurl --ats-diagnostics https://api.example.com，查看各 TLS 版本和配置项是否全绿 - 别用 curl -I 检查 HTTPS：它不校验 ATS 规则，只会告诉你能否连通；真正模拟 iOS 行为必须用 nscurl 或真机测试
-
证书链必须完整：Nginx 的
ssl_certificate文件里要包含域名证书 + 所有中间证书（顺序不能错），否则 iOS 会因无法构建信任链而拒绝连接 - CDN 或 WAF 接入时，TLS 终止点要落在支持 ATS 的节点上：比如阿里云 CDN、Cloudflare、AWS CloudFront 均默认满足；但老旧自建反代若终止在 TLSv1.1 节点，整个链路即不合规
特殊情况下的临时方案（慎用）
若第三方服务（如硬件设备接口、合作方老系统）确实无法升级 TLS，只能在客户端 Info.plist 中为该域名设置例外。但注意：
- App Store 审核时需提供合理解释（例如“对接不可控的工业设备，其固件不支持 TLS 1.2”）
- 例外仅限具体域名，
NSIncludesSubdomains设为 YES 会扩大风险范围 - 绝不可全局开启
NSAllowsArbitraryLoads—— 苹果早已禁用该选项，提交会被拒
