Apache通过SSLProtocol指令禁用TLSv1.1等弱协议，需在虚拟主机配置中设置SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1，并同步配置SSLCipherSuite与SSLHonorCipherOrder以确保安全生效。
Apache 本身不直接限制“HTTP 协议版本”（如 HTTP/1.0、HTTP/1.1、HTTP/2）的接入，它默认兼容主流版本，并由底层模块（如 mod_http2、mod_ssl）和 MPM 工作模型协同处理。但非法或过时协议版本带来的安全风险（如 HTTP/0.9 明文传输、弱加密协商、SSLv2/v3 等）确实需要主动拦截。真正可配置、有实效的，是限制底层 TLS 协议版本和禁用不安全的协商机制，从而间接拒绝使用老旧 HTTP 协议栈的客户端（尤其是那些只支持 SSLv3 或 TLSv1.0 的旧工具）。
以下是在 Linux 中针对 Apache（以 2.4.x 为主）实施有效防护的关键操作：
限制 TLS/SSL 协议版本（直接影响 HTTP over HTTPS 接入）
Apache 的 HTTPS 服务依赖 mod_ssl 模块，其安全性由 SSLProtocol 指令控制。该指令决定服务器接受哪些 TLS/SSL 版本，而 HTTP/1.1 或 HTTP/2 的协商必须建立在安全通道之上。
编辑 SSL 配置文件（通常为 /etc/httpd/conf.d/ssl.conf 或 /usr/local/apache/conf/extra/httpd-ssl.conf）：
# 禁用已知不安全的协议 SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1 # 仅允许现代、强加密的协议 SSLProtocol +TLSv1.2 +TLSv1.3
✅ 效果：
- 客户端若仅支持 SSLv3（如某些古早爬虫、定制嵌入式设备）或 TLSv1.0（如 Windows XP + IE6），连接将直接失败（握手阶段中断），不会进入 HTTP 请求流程；
- HTTP/2 要求 TLSv1.2+ 且启用 ALPN，此配置也为其提供基础支持。
重启服务生效：
systemctl restart httpd
禁用不安全的加密套件（强化协议层过滤）
仅限制协议版本还不够，需同步收紧加密套件，避免降级攻击：
SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384 SSLHonorCipherOrder on
? 说明：
- 显式列出强套件，排除
NULL、EXPORT、RC4、DES、MD5、SHA1等已弃用算法；SSLHonorCipherOrder on强制服务端优先选择，防止客户端强制协商弱套件。
（可选）通过 Rewrite 拦截明文 HTTP 中的异常 User-Agent 或协议特征
对纯 HTTP（非 HTTPS）服务，Apache 无法识别客户端声称的 HTTP 版本（如 HTTP/0.9 请求无 Host 头），但可通过请求头特征做粗粒度拦截：
# 在 <VirtualHost *:80> 或 <Directory> 中添加
RewriteEngine On
# 拒绝不含 Host 头的请求（典型 HTTP/0.9 或恶意扫描）
RewriteCond %{HTTP_HOST} ^$
RewriteRule ^ - [F]
# 拒绝 User-Agent 包含已知弱客户端标识（如古早 wget/curl 版本）
RewriteCond %{HTTP_USER_AGENT} "(wget/1\.4|curl/7\.1[0-9]|lynx/2\.8)" [NC]
RewriteRule ^ - [F]⚠️ 注意：此方式属应用层启发式过滤，不能替代 TLS 层加固，仅作辅助。
验证是否生效
- 使用 OpenSSL 测试 TLS 版本支持：
openssl s_client -connect yourdomain.com:443 -tls1_1 # 应失败 openssl s_client -connect yourdomain.com:443 -tls1_2 # 应成功
- 使用 curl 查看响应头与协议协商：
curl -I --http1.1 https://yourdomain.com curl -I --http2 https://yourdomain.com
不复杂但容易忽略。核心就是守住 TLS 这道门——协议版本限制本质是加密协议治理，而非 HTTP 文本协议解析。
