应优先启用ChaCha20-Poly1305套件并精简TLS 1.2配置：①移动端CPU多无AES-NI，ChaCha20软件优化更优；②TLS 1.2仅保留4个AEAD套件，剔除所有CBC/RC4/3DES；③强制服务端协商并限定TLSv1.2/TLSv1.3。
关键在选对套件、分清版本、匹配设备特性：移动端 CPU 普遍缺乏 AES-NI，但对 ChaCha20-Poly1305 有良好软件优化；同时必须严格区分 TLS 1.2 和 TLS 1.3 配置，避免协商混乱导致降级或 fallback。
优先启用 ChaCha20-Poly1305 套件
多数安卓中低端机、iOS 旧机型、部分 ARM 架构服务器不支持 AES 硬件加速，AES-GCM 反而比 ChaCha20 更慢。应把 ChaCha20 套件放在显眼位置，确保其被优先协商：
- ECDHE-ECDSA-CHACHA20-POLY1305（证书为 ECDSA 时最高效）
- ECDHE-RSA-CHACHA20-POLY1305（兼容性更广，RSA 证书通用）
- TLS13-CHACHA20-POLY1305-SHA256（TLS 1.3 下强制使用，无协商歧义）
精简 TLS 1.2 套件，剔除所有非 AEAD 模式
TLS 1.2 下的 CBC、RC4、3DES 不仅无硬件加速，还存在 Lucky13 等漏洞，且在移动网络弱信号下易出错重传。只保留以下 4 个真正适配移动端的组合：
- ECDHE-ECDSA-AES128-GCM-SHA256（ECDSA 证书 + AES-NI 设备）
- ECDHE-RSA-AES128-GCM-SHA256（RSA 证书 + 新款安卓/iOS）
- ECDHE-ECDSA-CHACHA20-POLY1305（ECDSA + 弱硬件）
- ECDHE-RSA-CHACHA20-POLY1305（RSA + 弱硬件，兜底选择）
彻底移除 ECDHE-RSA-AES128-SHA、ECDHE-RSA-AES256-SHA256 等含 SHA1/SHA256 的 CBC 套件。
强制服务端主导协商并限定协议版本
移动端客户端（尤其 WebView 或老旧 App）常主动提出过时套件，若不干预，会绕过你的优化逻辑：
- 启用 ssl_prefer_server_ciphers on;（对 TLS 1.2 生效，确保按你顺序选）
- 明确声明 ssl_protocols TLSv1.2 TLSv1.3;（禁用 TLS 1.0/1.1，它们不支持 AEAD）
- TLS 1.3 套件必须以 TLS13- 开头，且置于 ssl_ciphers 字符串最前
验证是否真正生效
改完配置后，用真实移动设备或模拟器测试，重点确认两点：
- 访问 https://yourdomain.com 后，用 Chrome DevTools → Security 标签页查看“Connection”行，确认显示 CHACHA20 或 AES_128_GCM
- 终端执行：openssl s_client -connect yourdomain.com:443 -tls1_2，检查输出中 Cipher 是否为上述四个之一
- 排除 CBC 类套件出现在协商结果中（如 AES128-SHA、AES256-SHA）
