旧版安卓连不上 Apache HTTPS 的核心原因是 TLS 握手首轮失败，因其不支持 TLSv1.2+ 的 ALPN、现代加密套件或 TLSv1.3；解决需识别老设备、隔离握手行为并精准放宽 TLS 参数，如用 mod_setenvif 按 UA 分流：老设备启用 TLSv1.1 + HTTP/1.1 + 兼容套件（ECDHE-RSA-AES128-SHA 等），新设备保持 TLSv1.2/h2/AES-GCM 强安全。
旧版安卓（比如 android 4.x、5.0 webview、部分 android 6 的系统组件）连不上 apache https 服务，核心原因不是“网站打不开”，而是 tls 握手在第一轮就失败了——它们不支持 tlsv1.2 的某些扩展（如 alpn）、无法处理现代加密套件，或根本不能解析 tlsv1.3。apache 默认启用强安全策略后，这些设备直接被拒之门外。
要真正解决，得从协议层“松一点”，而不是降级整个站点的安全性。关键是：识别老设备 + 隔离握手行为 + 精准放宽 TLS 参数。
明确哪些安卓版本容易出问题
常见高风险客户端包括：
- Android 4.4（WebView 基于 OpenSSL 1.0.1e，不支持 SNI 完整实现）
- Android 5.0–5.1（多数内置 WebView 不支持 ALPN，HTTP/2 会直接断）
- Android 6.0（部分厂商定制 ROM 的 TLS 栈未更新，对 ECDHE-ECDSA 套件兼容差）
- iOS 9.0–9.2（虽非安卓，但常和安卓老设备共存，同样卡在 TLSv1.1 与 ALPN）
✅ 验证方式：在 Apache access_log 中加
$ssl_protocol字段，统计真实握手版本；别只信 User-Agent。
Apache 中针对性放宽 TLS 握手配置
不是简单“开 TLSv1.1”，而是保留 TLSv1.2 主力，为老设备兜底 TLSv1.1，并禁用它们不兼容的特性：
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
# 在 ssl.conf 或虚拟主机 SSL 配置块中 SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1 +TLSv1.2 # → 先全关，再单独打开 TLSv1.2；但若需兼容 iOS 9.0–9.2 或 Android 5.0，可改为： # SSLProtocol all -SSLv3 -TLSv1 +TLSv1.1 +TLSv1.2 SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:\ ECDHE-RSA-AES128-SHA:DHE-RSA-AES128-SHA:AES128-SHA SSLHonorCipherOrder on # 关键：关闭 OCSP Stapling（旧 OpenSSL 版本易因此 handshake 失败） SSLUseStapling off # 启用会话复用，减少老设备重复握手压力 SSLSessionCache shmcb:/var/log/apache2/ssl_scache(512000) SSLSessionCacheTimeout 300
⚠️ 注意：ECDHE-RSA-AES128-SHA 和 AES128-SHA 是 TLSv1.1 下最稳妥的保底套件，Android 4.4+ 普遍支持；避免使用 CHACHA20 或 AES256-GCM，老 WebView 解析易出错。
按设备能力自动分流（推荐生产环境用）
不建议全局降级，而是用 mod_setenvif + <If> 实现“老设备走宽松 TLS，新设备走强安全”：
# 识别典型老安卓 UA（注意转义点号）
SetEnvIf User-Agent "Android[ /]4\.|Android[ /]5\.0|Android[ /]5\.1|iPhone OS 9[_\.][012]" legacy_client
<If "%{ENV:legacy_client} == '1'">
SSLProtocol all -SSLv3 -TLSv1 +TLSv1.1
SSLCipherSuite ECDHE-RSA-AES128-SHA:DHE-RSA-AES128-SHA:AES128-SHA
SSLUseStapling off
Protocols http/1.1 # 强制禁用 HTTP/2，避免 ALPN 协商失败
</If>这样，普通 Chrome、iOS 15+、Android 10+ 仍走 TLSv1.2 + h2 + AES-GCM；而 Android 5.0 手机访问时，Apache 自动切换成 TLSv1.1 + HTTP/1.1 + 兼容套件，连接成功率大幅提升。
补充检查项（常被忽略）
-
证书链必须完整：Android 对中间证书缺失比桌面浏览器敏感得多，务必把域名证书 + 中间证书（如 Let’s Encrypt R3）合并进
SSLCertificateFile，根证书不要放。 -
禁用 HSTS（临时调试用）：如果之前设过
Strict-Transport-Security且 max-age 很长，老设备可能因证书链问题被永久拦截，可先注释掉该 Header 测试。 -
后端代理也要同步：如果你用 Apache 做反向代理连 Tomcat/Java 服务，确认
ProxyPass对应的SSLProxyProtocol和SSLProxyCipherSuite也适配老协议，否则前端通、后端 502。
不复杂但容易忽略。
