部署在IIS的ASP.NET Core Web API已用TLS 1.2，Safari仍报不安全

首先明确：Safari的警告可能并非真的TLS版本问题，而是服务器SSL配置、密码套件或证书链的兼容性问题，导致Safari误判为旧TLS版本。以下是具体排查和解决方向：

一、服务器端IIS配置排查 #

• 彻底禁用旧TLS版本：即使服务器支持TLS1.2，只要保留TLS1.0/1.1，Safari可能因握手协商逻辑触发警告。通过注册表或IIS管理器关闭旧版本：
  1. 打开注册表编辑器，定位到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols
  2. 分别找到TLS 1.0、TLS 1.1的Server子项，设置Disabled值为1（若没有子项则新建）
  3. 重启服务器生效
• 调整密码套件顺序：Safari对密码套件的安全性要求较高，优先启用ECC类安全套件，移除旧的弱套件（如3DES、RC4）。在IIS管理器的“SSL设置”中配置套件顺序，推荐优先使用：
  TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
• 检查证书链完整性：即使证书有效，若缺失中间证书，Safari无法完成完整验证，可能关联到TLS版本警告。可以用命令openssl s_client -connect your-server:443 -showcerts检查输出的证书链是否包含根证书、中间证书和服务器证书。

二、ASP.NET Core代码/配置调整 #

如果是IIS反向代理到Kestrel，需要确保Kestrel本身强制使用TLS1.2：

• 在Program.cs中配置Kestrel的SSL协议：

builder.WebHost.ConfigureKestrel(options =>
{
    options.ListenAnyIP(443, listenOptions =>
    {
        listenOptions.UseHttps("your-certificate.pfx", "cert-password");
        listenOptions.Protocols = HttpProtocols.Http1AndHttp2;
        // 强制仅使用TLS 1.2
        listenOptions.SslProtocols = System.Security.Authentication.SslProtocols.Tls12;
    });
});

• 若使用IIS集成模式，确保ASP.NET Core模块的配置没有覆盖SSL设置，在web.config中确认没有自定义的TLS相关配置。

三、Angular前端排查 #

• 检查混合内容：前端若引用了HTTP协议的资源（如图片、脚本），即使主站是HTTPS，Safari也会触发安全警告，可能被误判为TLS问题。检查environment.ts中的API地址是否为HTTPS，打包后的静态资源路径是否全部使用HTTPS。
• 强制前端使用HTTPS：在Angular的app.module.ts中添加拦截器，确保所有请求都走HTTPS：

import { HTTP_INTERCEPTORS } from '@angular/common/http';
import { HttpsInterceptor } from './https.interceptor';

@NgModule({
  providers: [
    { provide: HTTP_INTERCEPTORS, useClass: HttpsInterceptor, multi: true }
  ]
})
export class AppModule { }

对应的拦截器实现：

import { Injectable } from '@angular/core';
import { HttpInterceptor, HttpRequest, HttpHandler } from '@angular/common/http';

@Injectable()
export class HttpsInterceptor implements HttpInterceptor {
  intercept(request: HttpRequest<any>, next: HttpHandler) {
    const secureReq = request.clone({
      url: request.url.replace('http://', 'https://')
    });
    return next.handle(secureReq);
  }
}

四、验证方法 #

• 在Mac终端执行openssl s_client -connect your-server-ip:443 -tls1_2，查看输出中的Protocol : TLSv1.2和Cipher Suite是否为安全套件
• 打开Safari开发者工具（偏好设置-高级-勾选“显示开发菜单”），切换到“安全”标签，查看实际使用的TLS版本和密码套件，确认警告的真实原因

内容的提问来源于stack exchange，提问作者marc_s