iOS React Native应用强制TLS 1.3无效，如何阻止不安全密码套件？

你的核心需求是让iOS应用拒绝使用TLS 1.2及以下版本的连接，当前配置未达到预期效果，问题可能出在配置逻辑、设备兼容性或生效方式上，下面是具体分析和解决方案：

为什么当前配置没生效？ #

你使用的NSThirdPartyExceptionMinimumTLSVersion是ATS中针对第三方域名的最低允许TLS版本配置，理论上设置为TLSv1.3后，应用应该拒绝连接仅支持TLS 1.2的tls-v1-2.badssl.com站点，但请求仍成功的常见原因有两个：

• 设备iOS版本不兼容：TLS 1.3在iOS 12.1及以上系统才被支持，若你的测试设备系统版本低于12.1，ATS会自动忽略TLSv1.3的版本限制， fallback到TLS 1.2建立连接。
• 配置未正确生效：修改Info.plist后未清理Xcode缓存，导致旧配置仍在生效。需要执行「Product > Clean Build Folder」后重新编译运行应用。

正确的配置方式 #

全局强制所有请求使用TLS 1.3 #

如果需要让整个应用的所有HTTPS请求都强制使用TLS 1.3，直接配置全局ATS规则即可，无需针对单个域名设置例外：

<key>NSAppTransportSecurity</key>
<dict>
    <!-- 全局最低TLS版本要求 -->
    <key>NSMinimumTLSVersion</key>
    <string>TLSv1.3</string>
    <!-- 强制使用支持前向保密的安全密码套件 -->
    <key>NSRequiresForwardSecrecy</key>
    <true/>
</dict>

针对特定域名强制TLS 1.3 #

如果只需要对部分域名做严格限制，保留你的第三方例外配置即可，但要确保测试设备iOS版本≥12.1，且清理缓存后重新编译：

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSExceptionDomains</key>
    <dict>
        <key>tls-v1-2.badssl.com</key>
        <dict>
            <key>NSThirdPartyExceptionMinimumTLSVersion</key>
            <string>TLSv1.3</string>
            <key>NSThirdPartyExceptionRequiresForwardSecrecy</key>
            <true/>
        </dict>
    </dict>
</dict>

验证方法 #

可以通过Xcode的「Network Inspector」查看请求实际使用的TLS版本：

1. 打开Xcode，运行应用
2. 点击Xcode顶部菜单栏的「Debug > Network Inspector」
3. 触发Axios请求，在请求列表中找到对应条目，查看「TLS Version」字段，确认是否为TLS 1.2或1.3

关于阻止不安全密码套件 #

NSRequiresForwardSecrecy配置已经会强制应用使用支持前向保密的安全密码套件，iOS的ATS默认已经禁用了RC4、3DES等不安全套件，无需额外配置。如果需要更精细的密码套件控制，可以使用NSAllowedSSLProtocols或NSExceptionAllowedSSLProtocols指定允许的套件，但一般默认配置已足够满足安全要求。

内容的提问来源于stack exchange，提问作者ando