访问网站的TLS版本由应用还是浏览器决定？如何配置Java/Spring MVC+Angular应用最低TLS版本

TLS版本不是单一由应用程序或浏览器说了算，而是客户端（浏览器/前端）和服务器端（你的Spring MVC应用）协商出来的。双方会各自亮出自己支持的TLS版本列表，最终选两者都支持的最高版本。要是服务器端直接禁用了低版本TLS，哪怕浏览器能支持，也没法用那些旧版本。

针对你用的Java/Spring MVC后端和Angular前端，分两部分说明：

一、Spring MVC后端配置 #

1. 内置Tomcat（Spring Boot常用场景） #

直接在application.properties或application.yml里添加配置，指定允许的TLS版本，排除低版本协议：

# 只允许TLS 1.2和1.3，禁用SSLv3、TLS1.0、TLS1.1
server.ssl.enabled-protocols=TLSv1.2,TLSv1.3
# 可选：搭配安全的加密套件，进一步提升安全性
server.ssl.ciphers=TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256

2. 独立Tomcat容器 #

修改Tomcat的server.xml文件，找到SSL对应的Connector节点，添加协议限制：

<Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           maxThreads="150" SSLEnabled="true">
    <SSLHostConfig>
        <Certificate certificateKeystoreFile="conf/你的证书文件.jks"
                     type="RSA" />
        <!-- 指定允许的TLS版本 -->
        <Protocols>TLSv1.2,TLSv1.3</Protocols>
        <!-- 可选：配置加密套件 -->
        <Ciphers>TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,...</Ciphers>
    </SSLHostConfig>
</Connector>

3. JVM全局强制配置 #

如果想让所有Java应用（包括你的后端）都禁用低版本TLS，可以在JVM启动参数里添加：

-Djdk.tls.client.protocols=TLSv1.2,TLSv1.3
-Djdk.tls.disabledAlgorithms=SSLv3,TLSv1,TLSv1.1

这个配置不仅会限制后端作为服务器时的TLS版本，还会约束后端作为客户端调用其他HTTPS服务时的协议版本。

二、Angular前端配置 #

Angular本身管不了TLS握手（这是浏览器或Electron这类宿主环境负责的），但可以做这些事来确保安全：

• 强制HTTPS访问：写个HTTP拦截器，把所有HTTP请求重定向到HTTPS，避免明文传输；同时在响应拦截器里可以通过浏览器API检测当前连接的TLS版本，要是低于要求就提示用户升级浏览器。
• 配置内容安全策略（CSP）：在页面的<meta>标签里加CSP规则，强制所有资源都通过HTTPS加载：

<meta http-equiv="Content-Security-Policy" content="default-src https:;">

• 浏览器兼容性检测：在应用启动时加个检测逻辑，判断浏览器是否支持TLS 1.2及以上，不支持就提示用户升级：

// 在app.component.ts的ngOnInit方法里添加
checkBrowserTlsSupport() {
  // 通过浏览器加密API判断是否支持TLS1.2+（简单判断方式）
  const supportsSecureTls = typeof window.crypto !== 'undefined' && 
    typeof window.crypto.subtle !== 'undefined';
  if (!supportsSecureTls) {
    alert('你的浏览器版本过低，不支持安全的加密协议，请升级浏览器后再使用本应用');
  }
}

内容的提问来源于stack exchange，提问作者akarahman