直接在Apache中用SSLCipherSuite显式排除弱算法（如!RC4:!3DES:!MD5等）比仅列举安全套件更可靠，符合PCI DSS、等保2.0要求，需置于启用SSLEngine on的HTTPS虚拟主机块内，并配合SSLHonorCipherOrder on强制服务端优先协商。
直接在 Apache 的 SSL 配置块中用 SSLCipherSuite 指令明确排除弱算法，比“只列安全套件”更可靠，也更符合 PCI DSS、等保2.0 等合规要求。
定位并编辑正确的配置位置
不安全套件的禁用必须作用于实际启用 HTTPS 的上下文，常见位置包括：
-
/etc/httpd/conf.d/ssl.conf（CentOS/RHEL） -
/etc/apache2/mods-available/ssl.conf或站点虚拟主机文件中的<VirtualHost *:443>块（Ubuntu/Debian） -
/usr/local/apache/conf/extra/httpd-ssl.conf（源码安装）
关键点：确保该配置块中已启用 SSLEngine on，否则 SSLCipherSuite 不生效。
使用黑名单式写法精准剔除已知脆弱算法
推荐采用 !xxx 形式显式排除，逻辑清晰、兼容性好、不易遗漏。例如：
Pandas 配置文件报告生成器
下载
使用ydata-profiling（前身为pandas-profiling）生成全面的数据质量报告，包含相关性分析、缺失值模式和基数检测。导出交互式HTML仪表板和JSON摘要。
-
HIGH优先选用强强度套件（如 AES-GCM、ChaCha20） -
!aNULL禁用无身份认证的套件（防匿名连接） -
!3DES和!RC4淘汰已被证实存在严重漏洞的算法 -
!EXPORT阻止出口级弱密钥（防 FREAK 类攻击） -
!MD5排除使用 MD5 哈希的套件（SHA1 同理，可加!SHA1）
搭配 SSLHonorCipherOrder 强制服务端优先
仅设套件还不够——客户端可能发起降级协商。需添加：
SSLHonorCipherOrder on这会让 Apache 严格按你配置的顺序选择套件，不接受客户端偏好的弱选项，有效防御降级攻击。
验证是否真正生效
改完后务必执行三步验证：
- 语法检查：
apachectl configtest或httpd -t - 重启服务：
systemctl restart httpd（RHEL/CentOS）或systemctl restart apache2（Debian/Ubuntu） - 实测连接：
openssl s_client -connect yourdomain.com:443 -cipher "RC4"应失败；而-cipher "ECDHE-AES128-GCM-SHA256"应成功并显示Protocol : TLSv1.2
不复杂但容易忽略
