必须开启SSLHonorCipherOrder on，否则SSLCipherSuite顺序无效；该指令仅在VirtualHost块内生效，大小写敏感，须配合严格筛选的SSLCipherSuite（如ECDHE类GCM套件）及TLS 1.2+协议使用，并通过openssl s_client实测验证。
必须开启 SSLHonorCipherOrder on，否则你写的 SSLCipherSuite 顺序形同虚设——客户端仍可能协商出排在它自己列表首位的弱套件，哪怕你把它放在配置末尾。
SSLHonorCipherOrder 必须在 VirtualHost 块内设置
这个指令不继承、不全局生效。即使你在 ssl.conf 或主配置里写了，只要对应 HTTPS 的 <VirtualHost *:443> 块里没显式声明，就等于没开。
- 错误写法：
SSLHonorCipherOrder on只出现在/etc/apache2/mods-enabled/ssl.conf顶层，但虚拟主机配置里没重复或覆盖 - 正确位置：紧挨着
SSLEngine on和SSLCipherSuite，在同一个<VirtualHost>块内 - 大小写敏感：
on是唯一有效值，On、ON、1都会被 Apache 忽略且不报错 - 检查加载顺序：运行
apache2ctl -t -D DUMP_VHOSTS（Debian/Ubuntu）或httpd -t -D DUMP_VHOSTS（RHEL/CentOS），确认目标虚拟主机确实被加载且配置未被后加载的块覆盖
只开 SSLHonorCipherOrder 不配 SSLCipherSuite = 白忙活
开启偏好只是“执行权”，SSLCipherSuite 才是“决策清单”。默认值（如 ALL:!aNULL:!eNULL:!EXPORT:!RC4:!MD5:!PSK:!SRP:!CAMELLIA）仍可能包含已淘汰套件（比如 ECDHE-ECDSA-DES-CBC3-SHA），2026 年起主流合规审计（PCI DSS、等保）会直接拒绝。
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- 推荐最小安全基线（TLS 1.2+）：
SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384 - 禁用所有不带前向保密（PFS）的套件，例如
RSA密钥交换类（AES128-SHA）、DES、3DES、RC4、MD5、NULL - 避免用
HIGH这类模糊关键字——它随 OpenSSL 版本浮动，不可控 - 务必搭配
SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1（仅留 TLSv1.2/TLSv1.3）
验证是否真生效，别信配置文件，要测连接结果
日志不报错 ≠ 生效。Apache 启动成功只说明语法对，不代表密码套件协商逻辑按你预期走。
- 用
openssl s_client -connect example.com:443 -tls1_2 -cipher "ECDHE-RSA-AES128-GCM-SHA256:AES128-SHA"测试：如果返回的Cipher是AES128-SHA，说明SSLHonorCipherOrder没起作用（客户端提了弱套件，服务器让步了） - 更可靠的方式是查服务端实际支持列表：
openssl s_client -connect example.com:443 -tls1_2 -cipher ALL | grep "Cipher is"，看输出中是否只含你SSLCipherSuite明确列出的那几个 - 注意 HTTP/2 兼容性：Apache < 2.4.26 + mod_http2 组合下，
SSLHonorCipherOrder可能被静默忽略；升级或改用Protocols h2 http/1.1并确认模块版本 -
.htaccess中设置无效——这是服务器级指令，AllowOverride再宽也拦不住这个限制
重启后仍不生效？先排除 mod_ssl 和 OpenSSL 底层问题
旧版 OpenSSL（如 1.0.2 或更早）根本不支持某些现代套件，即使配置全对，协商时也会 fallback 到兼容模式，绕过你的偏好。
- 检查 OpenSSL 版本：
openssl version；生产环境建议 ≥ 1.1.1l（支持 TLS 1.3）或 ≥ 3.0.0（长期支持） - 确认
mod_ssl已启用：apache2ctl -M | grep ssl（Ubuntu）或httpd -M | grep ssl（RHEL） - 私钥格式必须匹配：若用
ecdsa证书，SSLCipherSuite中必须包含ECDHE-ECDSA-*套件，否则协商失败直接断连 - 证书链缺失或顺序错乱会导致握手失败，间接掩盖
SSLHonorCipherOrder问题；用curl -Iv https://example.com看是否报SSL certificate problem
最常被忽略的一点：你改的是正确的配置文件，但 Apache 加载的是另一个——比如在 /etc/apache2/sites-enabled/ 下有软链指向旧配置，或容器环境中挂载路径覆盖了你的修改。验证前，先 apache2ctl -V | grep SERVER_CONFIG_FILE 确认主配置路径，再顺藤摸瓜查实际生效的 VirtualHost 定义位置。
