如何在ColdFusion服务器中限制TLS1.1以下版本的浏览器访问

一、利用CGI变量快速判断（优先推荐） #

ColdFusion的CGI变量中，CGI.HTTPS_VERSION可以直接获取当前连接使用的TLS/SSL版本（不同服务器返回格式可能略有差异，比如IIS、Apache会返回TLS/1.0、TLS/1.1这类格式）。

• 先在测试页面输出变量值确认格式：

<cfdump var="#CGI.HTTPS_VERSION#" label="当前TLS版本">

• 实现拦截逻辑：提取版本号后与1.1对比，低于该版本则禁止访问：

<cfset tlsVersion = ListLast(CGI.HTTPS_VERSION, "/")>
<cfif Compare(tlsVersion, "1.1") LT 0>
    <cfoutput>
        <h1>访问被禁止</h1>
        <p>您的浏览器使用的TLS版本过低，请升级浏览器后重试。</p>
    </cfoutput>
    <cfabort>
</cfif>

• 注意：若服务器未返回CGI.HTTPS_VERSION，再考虑使用Java方法。

二、通过Java API获取精确TLS版本（兼容所有场景） #

如果CGI变量不可用，可直接调用ColdFusion底层的Java Servlet API获取连接的SSL会话信息：

<cfset request = getPageContext().getRequest()>
<cfset sslSession = request.getAttribute("javax.servlet.request.ssl_session")>
<cfif sslSession neq "">
    <cfset tlsVersion = sslSession.getProtocol()>
    <cfset versionNum = ListLast(tlsVersion, "/")>
    <cfif Compare(versionNum, "1.1") LT 0>
        <cfoutput>
            <h1>访问被禁止</h1>
            <p>您的浏览器使用的TLS版本过低，请升级浏览器后重试。</p>
        </cfoutput>
        <cfabort>
    </cfif>
</cfif>

• 说明：javax.servlet.request.ssl_session是Servlet规范提供的标准属性，ColdFusion作为Java容器可直接获取，返回的SSLSession对象能精确获取当前连接的协议版本。

三、额外优化建议 #

• 将检测逻辑放在应用全局入口（比如Application.cfc的onRequestStart方法中），确保所有请求都经过校验。
• 测试时可借助浏览器调试工具或TLS版本模拟工具，验证不同版本的拦截效果。

内容的提问来源于stack exchange，提问作者Roza