nginx启用tlsv1.3失败的根源是openssl版本过低：openssl 1.0.2不支持tlsv1.3，必须升级至1.1.1或更高版本，并确保nginx编译时链接该新版库，仅系统安装新版本而未重编译nginx无效。
直接看 Nginx 启动时的报错和底层依赖版本，就能快速确认是不是系统 OpenSSL 太旧导致 TLSv1.3 不可用。
查 Nginx 编译时用的 OpenSSL 版本
运行命令：
nginx -V 2>&1 | grep "built with OpenSSL"
输出类似 built with OpenSSL 1.0.2k-fips 26 Jan 2017，说明编译时链接的是 OpenSSL 1.0.2 —— 这个版本完全不支持 TLSv1.3（RFC 8446 要求最低 OpenSSL 1.1.1）。
注意：即使系统已装 OpenSSL 1.1.1，若 Nginx 是旧包安装的，它仍可能绑定老库，不会自动升级依赖。
查系统当前 OpenSSL 运行版本
运行命令：
openssl version
如果输出是 OpenSSL 1.0.2k-fips 或 1.0.2u 等 1.0.2 系列，就明确说明系统级 OpenSSL 不满足 TLSv1.3 要求。CentOS 7 默认就是这个版本，需手动升级或替换。
对比支持矩阵：
- OpenSSL 1.0.2：仅支持 TLSv1.2 及以下，不支持 TLSv1.3
- OpenSSL 1.1.1：正式支持 TLSv1.3（2018年9月起）
- OpenSSL 3.0+：增强支持，推荐用于新部署
验证 Nginx 是否真正启用了 TLSv1.3
在配置中写入 ssl_protocols TLSv1.2 TLSv1.3; 后，执行：
nginx -t
若报错 invalid value "TLSv1.3"，基本可断定 Nginx 内部不识别该协议名，根源就是所依赖的 OpenSSL 版本过低，无法提供对应 API。
此时不要修改配置降级妥协，而应升级 OpenSSL 和/或重新编译 Nginx。
临时绕过但不推荐的做法
某些场景下可指定自定义 OpenSSL 源码路径编译 Nginx，避免改动系统库：
- 下载 OpenSSL 1.1.1 或 3.0+ 源码，解压到
/opt/openssl-src - 编译 Nginx 时加参数：
--with-openssl=/opt/openssl-src - 确保
nginx -V中显示的 built with OpenSSL 版本已更新
这种方式隔离性强，但需自行维护编译流程和安全更新。
