Java旧版本客户端与Nginx TLS不兼容导致SSL握手失败，需通过调整Nginx的ssl_protocols、ssl_ciphers或Java端启用TLS协议来解决，长期应升级Java和停用TLS 1.0/1.1。
Java 客户端（尤其是较老版本如 Java 7 或早期 Java 8）默认只支持 TLS 1.0 / 1.1 和有限的密码套件，而现代 Nginx 默认配置常启用 TLS 1.2+ 并禁用不安全的旧算法。当后端服务（如 Spring Boot、Tomcat）直连 Nginx 时，若 Nginx 的 SSL 配置未兼容 Java 客户端的 TLS 能力，就会出现 javax.net.ssl.SSLHandshakeException 或 Received fatal alert: handshake_failure 等错误。
确认 Java 客户端的实际 TLS 支持能力
不同 Java 版本默认启用的协议和密码套件差异较大：
- Java 7u95 及更早：仅默认启用 TLS 1.0，不支持 TLS 1.2；需手动启用（通过系统属性或代码）
- Java 8u31 之前：TLS 1.2 默认启用，但部分弱密码套件（如
SSL_RSA_WITH_RC4_128_MD5）可能仍被协商，而现代 Nginx 已默认禁用 - Java 8u161+ / Java 9+：默认禁用 TLS 1.0/1.1，且移除了大量不安全的加密算法
建议在 Java 客户端启动时添加 JVM 参数临时调试：
-Djavax.net.debug=ssl:handshake
立即学习“Java免费学习笔记（深入）”；
观察日志中 ClientHello 发送的 supported_versions 和 cipher_suites，对比 Nginx 实际提供的选项是否重叠。
调整 Nginx SSL 配置以兼容旧 Java 客户端
在 Nginx 的 server 块中，显式放宽 TLS 协议与密码限制（仅限内网或受控环境）：
-
启用 TLS 1.0 和 TLS 1.1（谨慎！仅临时或隔离场景使用）：
ssl_protocols TLSv1 TLSv1.1 TLSv1.2; -
选用 Java 7/8 广泛支持的密码套件（优先含
RSA+AES+SHA1）：
ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA256:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256';
（避免使用CHACHA20、AEAD以外的现代算法，Java 7 不识别） -
禁用不兼容的密钥交换机制（如
PSK、SRP、ECDSA若客户端无对应证书）：
保持ssl_prefer_server_ciphers on;并确保ssl_ciphers列表不含客户端无法处理的套件
验证与替代方案
完成配置后，用 Java 客户端实际请求测试，并检查 Nginx 错误日志（error_log ... debug;）是否仍有 no suitable signature algorithm 或 no ciphers available 类报错。
- 使用
openssl s_client -connect your.domain:443 -tls1_1模拟旧协议握手，确认可通 - 若无法修改 Nginx（如云 WAF 场景），可在 Java 端升级或显式启用协议：
System.setProperty("https.protocols", "TLSv1,TLSv1.1,TLSv1.2");
或在HttpsURLConnection创建前调用：
SSLContext ctx = SSLContext.getInstance("TLS"); ctx.init(...); HttpsURLConnection.setDefaultSSLSocketFactory(ctx.getSocketFactory()); - 长期建议：升级 Java 客户端至 8u291+ 或 11+，并同步更新 Nginx 使用 TLS 1.2+ + 安全密码套件（如
ECDHE-ECDSA-AES128-GCM-SHA256），停用 TLS 1.0/1.1
核心是让 Nginx 的 ServerHello 包含 Java 客户端 ClientHello 中声明支持的协议版本与密码组合。不复杂但容易忽略细节。
