SSLOptions 不控制加密算法或协议版本，仅管理 SSL/TLS 运行时行为；实现 Legacy 兼容需正确配置 SSLProtocol 和 SSLCipherSuite，并配合私钥、重协商等设置。
SSLOptions 指令本身不控制加密算法（如RSA、3DES、SHA1等），也不用于开启“Legacy算法后向兼容”。它只管理 SSL/TLS 运行时行为，比如环境变量注入、客户端证书传递、重协商策略等。
如果你真正想做的是：让 Apache 支持老旧客户端（如 Windows XP + IE6、旧版 Java 6、嵌入式设备）所需的弱算法或旧协议版本，那需要调整的是另外两个指令：
-
SSLProtocol—— 控制允许的 TLS/SSL 协议版本 -
SSLCipherSuite—— 控制允许的密钥交换、认证、加密和摘要算法
而 SSLOptions 在这个场景中完全不相关。误配它不会带来任何兼容性提升，反而可能引发调试困惑或安全误判。
✅ 正确做法：用 SSLProtocol 和 SSLCipherSuite 实现 Legacy 兼容
1. 允许旧协议（如 TLS 1.0、TLS 1.1）
SSLProtocol all -SSLv2 -SSLv3 +TLSv1 +TLSv1.1 +TLSv1.2
⚠️ 注意：TLS 1.0/1.1 已被主流标准弃用（PCI DSS、NIST 等），仅在绝对必要且隔离环境中启用。Apache 2.4.37+ 默认禁用 TLS 1.0/1.1。
2. 启用 Legacy 密码套件（如 RC4、3DES、SHA1）
SSLCipherSuite ECDHE-ECDSA-RC4-SHA:ECDHE-RSA-RC4-SHA:RC4-SHA:HIGH:MEDIUM:!aNULL:!MD5:!EXPORT:!LOW:!SEED:!CAMELLIA:!PSK:!SRP:!KRB5 SSLHonorCipherOrder on
? 示例说明：
RC4-SHA：支持 IE6–IE10、AndroidECDHE-RSA-RC4-SHA：前向保密 + RC4（部分老 Android 支持）!EXPORT/!LOW：排除已知弱出口级套件（仍比完全放开稍安全）
3. 配合其他必要设置
- 确保私钥是 1024 位 RSA 或 2048 位但兼容旧实现（某些老客户端不支持 ECDSA 或 >2048 位 RSA）
- 关闭
StrictRequire、OptRenegotiate等增强特性（它们与 Legacy 客户端常冲突） - 若需兼容 JDK 6u45 前版本，可能还需启用：
SSLInsecureRenegotiation on
（但仅限
<virtualhost></virtualhost>内，且必须确认风险可接受）
❌ 常见误解澄清
-
SSLOptions +StdEnvVars：只是把SSL_PROTOCOL、SSL_CIPHER等变量传给 PHP/CGI，不影响协商过程 -
SSLOptions +ExportCertData：只在双向认证时导出客户端证书内容，与服务端算法无关 - 把
SSLOptions写在全局配置或 HTTP 虚拟主机里：Apache 直接忽略，不报错也不生效 - 认为“开了 SSLOptions 就能连上老设备”：实际连接失败通常源于协议/密码不匹配，而非环境变量缺失
✅ 快速验证是否生效
用 OpenSSL 模拟旧客户端测试：
# 测试 TLS 1.0 + RC4 openssl s_client -connect example.com:443 -tls1 -cipher "RC4-SHA" # 测试 TLS 1.1 + 3DES openssl s_client -connect example.com:443 -tls1_1 -cipher "DES-CBC3-SHA"
若成功建立连接并显示 Protocol : TLSv1 或 TLSv1.1，且 Cipher 行匹配目标套件，说明配置已起效。
不复杂但容易忽略
