必须在每个启用 https 的 server 块中配置 ssl_protocols tlsv1.2 tlsv1.3; 才能真正禁用 tls 1.0 和 tls 1.1；该指令在 http 或 location 块中无效，且需配合强加密套件与实测验证。
直接在每个启用 HTTPS 的 server 块里写 ssl_protocols TLSv1.2 TLSv1.3;，就能真正禁用 TLS 1.0 和 TLS 1.1——不是“可能”，是必须这么放，否则配置等于没写。
ssl_protocols 必须放在 server 块内，不能写在 http 或 location 里
这个指令只在 server 块中生效，哪怕你把它塞进 http 块顶部、语法检查也通过，Nginx 也不会拿它去约束实际连接。结果就是：旧协议照常协商成功，扫描工具依然报高危漏洞。
- 每个监听
443 ssl的server块都得单独加这一行，Nginx 不继承父级设置 - 如果你用了多个虚拟主机（比如
/etc/nginx/sites-enabled/下好几个 conf 文件），漏改一个，那个域名就还在裸奔 - 别信“我全局配了，应该够了”——实测会打脸
只写 TLSv1.2 TLSv1.3，一个旧版本都不能多
写成 ssl_protocols TLSv1.1 TLSv1.2 TLSv1.3; 或 ssl_protocols TLSv1 TLSv1.2 TLSv1.3; 都不行。只要列表里存在 TLSv1.0 或 TLSv1.1，Nginx 就可能在握手时降级协商，尤其是面对某些老旧客户端或中间设备。
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
- ✅ 正确写法：
ssl_protocols TLSv1.2 TLSv1.3;（注意空格、大小写、分号，缺一不可） - ❌ 错误写法：
ssl_protocols TLSv1.2+;（Nginx 不支持通配符） - ❌ 错误写法：
ssl_protocols TLSv1.2 TLSv1.3（漏掉分号，重载会失败） - ⚠️ 注意：TLSv1.0/TLSv1.1 已被 PCI DSS、等保2.0、NIST SP 800-52r2 明令弃用，不是“还能用”，是“不该用”
光禁协议不够，还得锁死加密套件和协商优先级
就算协议限制住了，客户端仍可能用弱 cipher 建立 TLS 1.2 连接，导致前向保密缺失、易受中间人攻击。这时候 ssl_ciphers 和 ssl_prefer_server_ciphers 就成了关键补丁。
- 推荐密钥交换组合：
ssl_ciphers "ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384"; - 必须禁用含
RC4、MD5、SHA1、DES、3DES的所有套件 - 务必开启服务端优先：
ssl_prefer_server_ciphers on;，否则客户端可以无视你的ssl_ciphers顺序强行选弱项
改完必须实测，不能只靠 nginx -t
nginx -t 只校验语法，不验证行为。你改完 reload，如果没测试，就等于把安全策略当装饰画挂墙上。
- 测 TLS 1.1 是否真被拒：
openssl s_client -connect example.com:443 -tls1_1 -servername example.com→ 应返回 handshake failure 或 connection refused - 测 TLS 1.2 是否仍可用：
openssl s_client -connect example.com:443 -tls1_2 -servername example.com→ 应完成握手并显示证书 - 查完整支持列表：
nmap --script ssl-enum-ciphers -p 443 example.com→ 输出里不能出现TLSv1.0或TLSv1.1 - 常见失效原因：CDN 没同步配置、DNS 解析到了旧服务器、多个配置文件只改了一个
最常被忽略的一点：TLS 1.3 启用后，OCSP Stapling 若没配好，Safari 和 iOS 客户端可能延迟甚至拒绝连接——这不是协议问题，是证书状态验证链断了。别只盯着 ssl_protocols，整条 TLS 路径都得连起来看。
