必须在 proxy_ssl_protocols 指令中显式配置 tlsv1.2 tlsv1.3，才能禁用不安全的 sslv2/sslv3/tlsv1.0/tlsv1.1；该指令专用于 nginx 到上游服务器的 https 连接，需配合 proxy_ssl_ciphers 和实测验证。

proxy_ssl_protocols 用于控制 Nginx 作为反向代理时，与上游（后端）服务器建立 HTTPS 连接所允许使用的 TLS/SSL 协议版本。它不作用于客户端到 Nginx 的连接（那是 ssl_protocols 的职责），而是管“Nginx → 后端 HTTPS 服务”这段链路的安全握手。

为什么这个配置重要

旧协议如 SSLv2、SSLv3 和 TLS 1.0/1.1 存在已知漏洞（如 POODLE、BEAST），容易被攻击者利用。若 Nginx 仍允许与后端使用这些弱协议通信，即使前端启用了 TLS 1.3，整条链路的安全性也会被降级甚至击穿。

推荐的写法

应显式启用强协议，禁用所有已废弃版本：

FastAPI Flask Proxy

FastAPI + Flask 混合部署最佳实践，解决路由定义、API 代理等常见问题，适用于同时运行 FastAPI API 与 Flask 前端的场景。

下载

• proxy_ssl_protocols TLSv1.2 TLSv1.3;
• 不写该指令时，Nginx 默认值通常是 TLSv1 TLSv1.1 TLSv1.2（取决于编译时 OpenSSL 版本），这包含不安全的 TLS 1.0/1.1
• 明确排除 SSLv2、SSLv3、TLSv1、TLSv1.1 是基本安全实践

配合 proxy_ssl_ciphers 使用

仅限制协议还不够，还需搭配强加密套件：

• proxy_ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;
• 避免使用 RC4、DES、3DES、MD5 等已被淘汰的算法
• 建议启用 proxy_ssl_prefer_server_ciphers off;（默认），让客户端优先选择更优套件

验证是否生效

可通过 OpenSSL 命令模拟 Nginx 的上游行为测试：

• openssl s_client -connect your-upstream.example.com:443 -tls1_2（应成功）
• openssl s_client -connect your-upstream.example.com:443 -tls1（应失败）
• 同时检查 Nginx error log，若出现 SSL_do_handshake() failed 且涉及协议不匹配，说明配置已起效并拦截了弱协商