不能在location块中配置ssl_protocols，该指令仅在http和server块生效；协议协商发生在TLS握手初期，路径级控制无技术路径，需用独立server块+SNI实现隔离。
不能在同一个 server 块内、通过 location 指令为不同路径设置不同的 TLS 协议版本。
ssl_protocols 不支持 location 级别配置
ssl_protocols 指令仅在 http 和 server 两个作用域生效；写在 location 块中会被 Nginx 完全忽略，不会报错，但也不起作用。
- 协议协商发生在 TLS 握手初期（
ClientHello阶段），此时请求尚未进入具体location路由逻辑 - Nginx 在收到 TCP 连接后，立即由 OpenSSL 处理握手，此时只能依据所属
server块（或继承自http块）的ssl_protocols决定可选版本 - 也就是说，路径级控制在协议层不存在技术路径
替代方案：用独立 server 块 + SNI 实现逻辑隔离
若需对不同路径（如 /admin 和 /public）强制不同 TLS 版本，实际应拆分为多个域名或端口，再通过独立 server 块分别配置：
- 为管理接口申请专用子域名（如
admin.example.com），单独监听 443，只启用TLSv1.3 - 主站保持
example.com，启用TLSv1.2 TLSv1.3 - 客户端通过 SNI 指定目标域名，Nginx 根据
server_name匹配对应块并应用其ssl_protocols
这是当前 Nginx 原生能力下唯一可靠的方式。第三方模块（如 ngx_http_ssl_client_hello_module）虽可干预 ClientHello，但属非标准扩展，维护成本高且不推荐用于生产环境。
路径级安全强化：用其他指令补充协议限制
虽然无法限制协议，但可在 location 中叠加访问控制，提升敏感路径的整体安全性：
- 结合 IP 白名单：
allow 10.0.0.0/8; deny all;限定仅内网访问/admin - 启用基础认证：
auth_basic "Admin Area"; auth_basic_user_file /etc/nginx/.htpasswd; - 限制请求方法：
if ($request_method !~ ^(GET|HEAD|POST)$) { return 405; } - 拦截恶意 User-Agent：
if ($http_user_agent ~* "wget|curl|sqlmap") { return 444; }
验证与调试要点
确认配置生效必须绕过浏览器自动降级行为，使用命令行工具直连测试：
- 测试 TLSv1.2 是否可用：
openssl s_client -connect example.com:443 -servername example.com -tls1_2 -brief - 测试 TLSv1.3 是否可用：
openssl s_client -connect example.com:443 -servername example.com -tls1_3 -brief - 检查 Nginx 错误日志：
grep "ssl_protocols" /var/log/nginx/error.log，拼写错误（如TLSv1.22）会在此报invalid value - 最终以 SSL Labs 测评结果为准，避免依赖单点测试
