怎么通过 proxy_ssl_protocols 限制反代后端时所使用的加密协议版本-Nginx-PHP中文网

Credex Protocol

在 Arc Network 上使用 Credex 协议为 AI 代理提供无担保信贷。可凭声誉借 USDC、偿还债务提升额度、提供流动性或通过 Circle Bridge 跨链管理 USDC。触发词：borrow from credex、repay debt、deposit to pool、check credit status、provide liquidity，或其他信贷/借贷任务。

下载

必须在upstream或location块中配置proxy_ssl_protocols tlsv1.2 tlsv1.3，禁用tlsv1.0/tlsv1.1；同步启用proxy_ssl_verify on、proxy_ssl_server_name on、强cipher白名单及可信证书校验，方可满足pci dss等合规要求。

怎么通过 proxy_ssl_protocols 限制反代后端时所使用的加密协议版本

直接在 upstream 或 location 块里写 proxy_ssl_protocols TLSv1.2 TLSv1.3;，就能限制 Nginx 连接后端 HTTPS 服务时只用这两个版本——它不控制用户访问你的 Nginx，只管 Nginx 主动“出站”到后端的那条链路。

必须放在正确的作用域里

这个指令不会从 http 或 server 块继承。写在顶层配置里完全无效。

推荐方式：在 upstream 块内部直接配置，比如：

upstream backend {<br>  server api.example.com:443;<br>  proxy_ssl_protocols TLSv1.2 TLSv1.3;<br>}

替代方式：在含 proxy_pass https:// 的 location 块中紧挨着写，比如：

location /api/ {<br>  proxy_pass https://backend;<br>  proxy_ssl_protocols TLSv1.2 TLSv1.3;<br>}

如果 proxy_pass 指向的是 http:// 地址，这条指令压根不生效。

协议值要精准、不含淘汰版本

PCI DSS、等保2.0、NIST SP 800-52r2 等合规要求明确禁用 TLSv1.0 和 TLSv1.1，配置里不能出现它们。

✅ 正确写法：proxy_ssl_protocols TLSv1.2 TLSv1.3;
✅ 若后端暂不支持 TLSv1.3（如旧版 Tomcat），可退一步：proxy_ssl_protocols TLSv1.2;
❌ 错误写法：proxy_ssl_protocols TLSv1 TLSv1.1 TLSv1.2;（含已淘汰协议）
⚠️ 注意：Nginx 1.19.4+ 默认已移除 TLSv1 支持，即使写入也不会启用；显式排除更利于审计追溯。

单设协议不够，得配齐验证和加密套件

只限制协议版本，不等于链路真正安全。若后端证书不可信或加密套件弱，仍可能被绕过。

开启证书校验：proxy_ssl_verify on;，并指定可信 CA 文件：proxy_ssl_trusted_certificate /etc/ssl/certs/ca-bundle.crt;
启用 SNI 并声明目标域名：proxy_ssl_server_name on; + proxy_ssl_name "api.example.com";（不能用 $host 替代）
限定强加密套件，避开 RC4、SHA1、EXPORT 等：proxy_ssl_ciphers "ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384";

验证是否真的生效

重载配置后，不能只看语法检查通过。要实测出站连接行为：

用 OpenSSL 主动测试后端地址：openssl s_client -connect api.example.com:443 -tls1_2 -servername api.example.com（应成功）
同样命令换 -tls1_1 应失败，返回类似 protocol is down 的错误
检查 Nginx error log，若出现 SSL_do_handshake() failed 或证书验证失败提示，说明某环节没配对。