如何让Java 17桌面应用优先使用TLS 1.3而非TLS 1.2？

1. jdk.tls.client.protocols 是否按指定顺序优先尝试？ #

是的，jdk.tls.client.protocols 属性指定的协议顺序就是客户端TLS握手时的优先级顺序。当配置 jdk.tls.client.protocols=TLSv1.3,TLSv1.2 时，客户端会首先尝试用TLS 1.3发起握手；如果服务器不支持TLS 1.3或协商失败，才会降级尝试TLS 1.2。

2. 如何验证该行为？ #

有两种实用的验证方式：

• 启用SSL调试日志：启动应用时添加系统参数 -Djavax.net.debug=ssl:handshake，查看输出日志里的 ClientHello 消息，其中的 supported_versions 字段会严格按照配置顺序列出协议；同时能看到握手过程中实际协商的协议（比如 ServerHello 中的版本信息）。连接支持TLS 1.3的服务器时，最终会话协议会是TLSv1.3；连接仅支持TLS 1.2的服务器时，日志会显示TLS 1.3握手失败后切换到TLS 1.2。
• 代码验证：编写简单测试代码，通过 HttpsURLConnection 连接目标服务器，获取会话协议版本：

  URL url = new URL("https://your-target-server.com");
  HttpsURLConnection conn = (HttpsURLConnection) url.openConnection();
  conn.connect();
  System.out.println("协商使用的协议: " + conn.getSession().getProtocol());
  conn.disconnect();
  

  分别连接支持TLS 1.3和仅支持TLS 1.2的服务器，观察输出结果即可验证优先级逻辑。

3. 该配置是否必要？ #

需结合场景判断：

• 如果仅要求优先使用TLS 1.3，Java 17的默认行为已经满足此优先级，那么不是必须配置。
• 若需要精确锁定可用的TLS协议列表（避免后续JDK版本更新修改默认协议，或防止其他代码篡改协议设置），显式配置 jdk.tls.client.protocols 更稳妥，能确保客户端仅尝试指定的协议且顺序符合要求。

4. 与Java 17默认行为是否一致？ #

完全一致：

• Java 17默认已通过 jdk.tls.disabledAlgorithms 禁用TLS 1.0和TLS 1.1，默认启用的客户端协议为 TLSv1.3, TLSv1.2，且TLS 1.3优先级高于TLS 1.2。
• 显式配置 jdk.tls.client.protocols=TLSv1.3,TLSv1.2 会覆盖默认协议列表，但协议顺序和默认行为完全匹配。

内容的提问来源于stack exchange，提问作者Halvor Holsten Strand