Apache TLS高级策略围绕协议版本控制、密码套件筛选、协商优先级设定、客户端特征适配四维度组织，需按虚拟主机粒度配置，禁用过时协议（如TLS 1.0），启用SSLHonorCipherOrder on确保服务器优先选择强套件，不支持每次请求动态切换。
协议版本必须显式声明
TLS 握手从协议版本开始，Apache 默认可能启用过时版本（如 TLS 1.0），必须主动禁用。使用 `SSLProtocol` 指令精确控制：• 生产推荐（高安全）：只允许 TLS 1.2 和 TLS 1.3
SSLProtocol TLSv1.2 TLSv1.3
• 需兼容 Win7/IE11 等旧环境：保留 TLS 1.2，禁用所有更早版本
SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1
• 绝对禁止回退：避免降级攻击，不写 all，只列明确支持的版本
密码套件要按安全逻辑排序
`SSLCipherSuite` 定义服务器“愿意接受”的算法列表，但最终采用哪个由握手协商决定。真正起作用的是 `SSLHonorCipherOrder on` —— 它让 Apache 按你写的顺序，选第一个双方都支持的套件。• 现代高安全策略（推荐）：只保留前向保密（ECDHE）、AEAD 模式（GCM）、密钥长度 ≥128 位的组合
SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
• 平衡兼容策略：放宽限制但排除已知脆弱算法（如 RC4、SHA1、MD5、导出套件）
SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5:!SHA1:!DSS:!PSK:!SRP:!CAMELLIA
• 务必开启协商优先级：
SSLHonorCipherOrder on
按虚拟主机粒度差异化配置
Apache 不支持 per-request 切换，但可为不同 `• 公网门户域名用高安全套件
• 内部管理后台（如 /admin）可单独配置更严格的证书验证或仅限 TLS 1.3
• API 接口服务若对接特定 IoT 设备，可为其虚拟主机启用兼容性更强的套件
配置示例（在对应 VirtualHost 块内）：
<VirtualHost *:443>
ServerName api.example.com
SSLProtocol TLSv1.2
SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256
SSLHonorCipherOrder on
...
</VirtualHost>
条件性策略（谨慎使用）
虽不能动态换套件，但可通过 `SetEnvIf` 或 `SSLRequire` 实现粗粒度分流。例如：• 对 User-Agent 包含 “LegacyApp/1.0” 的请求，临时降级协议（仅限调试或过渡期）
SetEnvIf User-Agent "LegacyApp/1\.0" LEGACY_CLIENT
SSLProtocol TLSv1.2
<If "%{ENV:LEGACY_CLIENT} == '1'">
SSLCipherSuite ... #兼容性更强的列表
</If>
• 更常见且实用的做法是用它配合 `SSLRequire` 限制访问来源或强制客户端证书，而非切换套件
不复杂但容易忽略
