phpEnv的Nginx不支持运行时SSL加密强度分级切换，必须手动配置tls协议版本与密码套件，且受内置OpenSSL版本硬性约束；若nginx -V显示OpenSSL低于1.1.1，则TLSv1.3不可用，需降级至TLSv1.2并选用兼容套件。
phpEnv 里的 Nginx 不支持运行时 SSL 加密强度分级切换，所谓“启用 SSL 分级加密”本质是配置 TLS 协议版本与密码套件的组合策略，必须手动改 nginx.conf，且受 phpEnv 自带 OpenSSL 版本硬性约束。
为什么 nginx -V 显示有 ssl 模块，但 ssl_protocols 配置仍报错
常见于 phpEnv 内置 Nginx 编译时链接了过旧的 OpenSSL（如 1.0.2 或更早），而 ssl_protocols TLSv1.3、ssl_ciphers 中部分现代套件（如 ECDHE-ECDSA-CHACHA20-POLY1305）在旧 OpenSSL 下根本不可用。
- 先运行
phpEnv\server\nginx\nginx.exe -V，看built with OpenSSL后面的版本号；若低于 1.1.1，TLSv1.3 直接不可用 - Windows 下 phpEnv 默认不带
openssl.cnf覆盖机制，无法通过环境变量升级 OpenSSL 运行时库 - 错误现象：Nginx 启动失败，
error.log出现SSL_CTX_set_ciphers failed或unknown protocol - 临时绕过：降级使用
ssl_protocols TLSv1.2，并从 Nginx 官方推荐的兼容列表中选套件（如ECDHE-RSA-AES256-GCM-SHA384）
如何在 phpEnv 的 nginx.conf 中安全启用 TLS 策略
不能直接抄生产环境配置 —— phpEnv 的 Nginx 是静态编译、无动态模块、无运行时校验，错一个参数就 nginx -t 失败，且控制面板不会透出具体错误行。
- 必须把 TLS 配置写进具体的
server块内，不能只放在http块顶层（否则可能被忽略或冲突） - 最小可用配置示例（适配 OpenSSL 1.0.2+）：
ssl_protocols TLSv1.2; ssl_ciphers 'ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256'; ssl_prefer_server_ciphers on;
- 禁用不安全协议：明确排除
SSLv2、SSLv3、TLSv1、TLSv1.1，哪怕它们语法上合法 - 如果用了
mkcert生成的证书，必须确保私钥权限为600（Windows 可忽略，但 Linux/macOS 下 Nginx worker 会拒绝加载）
phpEnv 下无法启用 HSTS 或 OCSP Stapling 的真实原因
不是配置漏了，而是 phpEnv 自带的 Nginx 二进制默认未编译对应模块，且无途径启用。
立即学习“PHP免费学习笔记（深入）”；
-
add_header Strict-Transport-Security可以手动加，但仅限 HTTP 响应头层面，不等于真正实现 HSTS 策略（浏览器是否信任取决于证书链和首次访问方式） -
ssl_stapling on和ssl_trusted_certificate在 phpEnv 的 Nginx 中大概率触发unknown directive错误——因为ngx_http_ssl_module编译时未启用 OCSP 支持 - 想验证 TLS 配置效果，别信浏览器地址栏小锁图标，用命令行工具：
openssl s_client -connect localhost:443 -tls1_2或curl -Ivk https://localhost - 真正影响本地开发安全性的，反而是 PHP 自身：确认每个 PHP 版本的
php.ini中openssl.cafile指向了 mkcert 的根证书路径，否则cURL或file_get_contents访问 HTTPS 会失败
最常被跳过的动作：改完 nginx.conf 后，必须在命令行下运行 phpEnv\server\nginx\nginx.exe -t -c phpEnv\server\nginx\conf\nginx.conf 手动验证，再点 phpEnv 控制面板的「重启 Nginx」。界面按钮不校验配置语法，也不输出错误日志位置。
