微信小程序强制要求后端HTTPS服务必须支持TLS 1.2及以上版本，禁用SSLv2/3、TLS 1.0/1.1；Nginx需显式配置ssl_protocols TLSv1.2 TLSv1.3，选用ECDHE-AES-GCM-SHA256/SHA384套件，并确保OpenSSL≥1.0.1。
微信小程序强制要求后端 HTTPS 服务必须支持 TLS 1.2 或更高版本（如 TLS 1.3），且明确禁用 SSLv2/SSLv3、TLS 1.0 和 TLS 1.1。Nginx 配置若未精准满足，即使证书有效、能正常访问网页，小程序仍会报“TLS 版本不合法”或“网络请求失败”。关键不在“有没有 HTTPS”，而在“协议和加密套件是否被微信客户端认可”。
明确启用 TLS 1.2+ 并禁用老旧协议
Nginx 的 ssl_protocols 必须显式声明，不能依赖全局默认值。常见错误是配置中混入了 TLSv1 或 TLSv1.1，或遗漏 TLSv1.3（推荐启用）：
Wechat MP Article Stats Comments Suite - 微信公众号管理套件
下载
公众号运营：文章发布至草稿、样式封面、评论与用户管理、数据统计等。用户要求将 Markdown 发送到公众号草稿、查看阅读量统计或类似后台操作时，使用本技能。
- ✅ 正确写法：
ssl_protocols TLSv1.2 TLSv1.3; - ❌ 错误写法：
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;（含 TLSv1/TLSv1.1，微信拒绝连接） - ⚠️ 注意：多个 server 块共存时，任一 server 中的
ssl_protocols设置都可能影响其他块（尤其当使用通配 listen 或默认 server）。务必逐个检查，统一清理过时协议。
选用微信兼容的加密套件
微信客户端（尤其 Android 端）对加密算法较敏感。优先使用基于 ECDHE 密钥交换、AES-GCM 模式、带 SHA256 或 SHA384 的套件：
- ✅ 推荐配置：
ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384'; - ❌ 避免含
!aNULL:!MD5:!RC4:!DHE:!ADH等过度限制，但必须排除弱算法；!SSLv3:!TLSv1:!TLSv1.1可在 cipher 字符串末尾补充强化 - ? 小技巧：用 SSL Labs 测试页 扫描域名，确认“Handshake Simulation”中微信 iOS/Android 客户端显示为绿色 ✅
确保 OpenSSL 底层支持（常被忽略）
Nginx 编译时链接的 OpenSSL 版本决定其 TLS 能力上限。即使配置正确，若底层 OpenSSL
- 运行
nginx -V 2>&1 | grep -o "OpenSSL [0-9.]*"查看 Nginx 实际使用的 OpenSSL 版本 - 要求最低版本：OpenSSL 1.0.1（支持 TLS 1.2），推荐 1.1.1+（完整支持 TLS 1.3）
- 若版本过低，需重新编译 Nginx 或升级系统 OpenSSL（CentOS 7 默认 OpenSSL 1.0.2，Ubuntu 16.04+ 通常达标）
开发与上线环境分离配置
微信开发者工具和真机调试允许临时绕过 TLS 校验，但仅限开发阶段：
- 工具内：项目 → 详情 → 本地设置 → 勾选「不校验合法域名、web-view、TLS 版本以及 HTTPS 证书」
- 手机端：微信 6.7.2+ → 发现 → 扫一扫 → 调试模式 → 开启「不校验域名」（仅限当前扫码页面）
- ⚠️ 这些开关不影响线上行为。上线前必须关闭，并确保生产 Nginx 配置 100% 符合微信要求
