Apache强加密依赖OpenSSL底层支持与显式配置：编译时链接完整版OpenSSL（1.1.1t+/3.0.13+），配置中禁用TLSv1.0/1.1，限定ECDHE-AES-GCM-SHA256/384套件并启用SSLHonorCipherOrder。
Apache 本身不直接实现加密套件，强加密能力依赖于底层 OpenSSL（或兼容库如 BoringSSL、GMSSL）的编译配置与运行时 SSL/TLS 协议策略。要让 Apache 支持强加密套件，关键在两步：一是安装时正确链接高版本、未裁剪的 OpenSSL；二是通过 Apache 配置文件（httpd.conf 或 ssl.conf）显式限定协议版本和密码套件列表。
编译 Apache 时确保 OpenSSL 支持完整密码学能力
使用系统包管理器安装（如 apt install apache2 或 yum install httpd）通常已启用 OpenSSL，但默认可能受限于发行版策略（例如禁用 TLSv1.0、弱算法）。若需自主控制，推荐源码编译：
- 先安装**完整版 OpenSSL**（建议 1.1.1t 或 3.0.13+），避免使用被裁剪的 distro 版本（如某些 CentOS 7 的 openssl-1.0.2k 不支持 TLS 1.3）
- 编译 Apache 时明确指定 OpenSSL 路径，并启用 SSL 模块：
./configure --enable-ssl --with-ssl=/usr/local/ssl --enable-mods-shared=ssl - 确认编译后模块加载正常：
httpd -M | grep ssl应显示ssl_module (shared)
配置 SSLProtocol 和 SSLCipherSuite 实现强加密策略
在 Apache 的 SSL 虚拟主机配置段（如 <VirtualHost *:443>）中，必须显式关闭老旧协议并收紧密码套件：
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- 禁用不安全协议：
SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1
（仅保留 TLSv1.2 和 TLSv1.3） - 设置现代强密码套件（优先 ECDHE + AES-GCM + SHA256/SHA384）：
SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384 - 强制前向保密并禁用重协商：
SSLHonorCipherOrder onSSLOptions +StrictRequire
验证是否生效
重启 Apache 后，用以下方式确认强加密已启用：
- 本地测试：
openssl s_client -connect yourdomain.com:443 -tls1_2，查看返回的Cipher is行是否匹配你设定的套件 - 在线检测：访问 SSL Labs Test，检查评级是否达 A+，重点关注 “Key Exchange” 和 “Cipher Suites” 部分
- 检查 Apache 错误日志：
tail -f /usr/local/apache/logs/error_log，确认无SSL library error或套件不匹配警告
注意：若使用国密证书（SM2/SM4），需替换为 GMSSL 编译，并在配置中启用 SSLProtocol +TLSv1.1 +TLSv1.2 +GMSSL 及对应国密套件，路径和模块名也需相应调整。
