phpEnv 8.12.1 绿色版默认基于 OpenSSL 3.0+ 编译，原生支持 TLS 1.3，但需手动修改 nginx.conf：设置 ssl_protocols TLSv1.2 TLSv1.3，更新 ssl_ciphers 含 TLSAES* 套件，使用完整证书链（如 Let’s Encrypt fullchain.pem），并启用 OCSP Stapling；否则将静默降级至 TLS 1.2。
phpEnv 本身不直接提供 TLS 1.3 配置界面，Nginx 的 TLS 版本由其内置 OpenSSL 版本和配置决定；当前（2026 年）phpEnv 8.12.1 绿色版默认捆绑的 Nginx 是基于 OpenSSL 3.0+ 编译的，**原生支持 TLS 1.3**，但需手动修改 nginx.conf 启用，否则默认仍走 TLS 1.2。
确认 Nginx 是否已编译支持 TLS 1.3
打开 phpEnv 主界面 →「服务」→「Nginx」→「配置文件」，找到 nginx.conf 所在路径（通常是 %PHPENV_PATH%\nginx\conf\nginx.conf）。先验证底层能力：
- 在命令行中运行：
nginx -V 2>&1 | findstr "openssl"，若输出含OpenSSL 3.0.或更高（如3.1.4），说明具备 TLS 1.3 基础 - 若显示
OpenSSL 1.1.1，则最高只支持 TLS 1.3 的草案版（RFC 8446 之前），实际协商可能降级，**必须升级 phpEnv 到 8.12.1+**（2025 年 5 月后版本已切换至 OpenSSL 3.0.13+）
在 nginx.conf 中启用 TLS 1.3 并禁用老旧协议
编辑 nginx.conf，定位到 server 块内的 ssl_protocols 行。常见错误是只写 TLSv1.3 而忽略兼容性，或遗漏 ssl_ciphers 更新：
- 将
ssl_protocols TLSv1.2 TLSv1.3;设为显式值（不能只留TLSv1.3，否则 IE11/旧 Android 会握手失败） - 替换
ssl_ciphers为现代安全套件，例如：ssl_ciphers 'TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256'; - 务必添加
ssl_prefer_server_ciphers off;—— TLS 1.3 中该指令已弃用，但旧配置残留会导致 Nginx 启动报错
证书链与 OCSP Stapling 必须匹配 TLS 1.3 要求
TLS 1.3 强制要求完整证书链且拒绝 SHA-1 签名，phpEnv 自带的测试证书（cert.pem + key.pem）默认不满足。若跳过这步，浏览器会显示“安全连接已建立”但实际降级到 TLS 1.2：
立即学习“PHP免费学习笔记（深入）”；
- 使用 Let’s Encrypt 的
fullchain.pem替换cert.pem（不能只用域名证书，必须含中间 CA） - 确保私钥为 PEM 格式且无密码：
openssl rsa -in key.pem -out key-unlocked.pem - 开启 OCSP Stapling（提升握手速度）：
ssl_stapling on; ssl_stapling_verify on;，并指定可信 CA 包：ssl_trusted_certificate /path/to/fullchain.pem;
验证是否真正启用了 TLS 1.3
改完配置后重启 Nginx，别信 phpEnv 界面的“启动成功”提示——它不校验 TLS 协商结果：
- 用 Chrome 访问
https://localhost→ F12 → 「Security」面板 → 查看「Connection secure」下方的「Protocol」字段，应明确显示TLS 1.3 - 命令行快速验证：
openssl s_client -connect localhost:443 -tls1_3 2>/dev/null | findstr "Protocol"，输出应为Protocol : TLSv1.3 - 注意：若用
-tls1_2参数也能连通，说明配置未完全生效（比如ssl_protocols写错位置，或被 include 的子配置覆盖）
最易被忽略的是证书链完整性与 ssl_ciphers 的组合效应：哪怕 Nginx 编译支持 TLS 1.3，只要证书缺中间 CA 或密钥套件未包含 TLS_AES_* 前缀的算法，客户端就会静默回退到 TLS 1.2，而 phpEnv 界面不会报任何错。
