如何编程检测当前Windows系统是否支持TLS 1.3协议

不要通过系统版本号判断TLS支持能力，直接检测Schannel（Windows原生TLS/SSL实现栈）的实际能力即可，完全符合微软官方的功能优先检测原则，不需要硬编码任何系统版本标识，也能正确识别打了回移补丁、同主版本号不同功能的系统。

核心检测逻辑：调用Schannel/CNG API枚举原生支持的协议 #

Windows所有TLS协议能力最终由Schannel SSP实现，通过加密API枚举Schannel注册的协议函数，即可直接判断系统是否内置对应TLS版本的支持：

• 首先调用EnumerateSecurityPackagesW确认Schannel安全包正常加载
• 调用BCryptEnumContextFunctions枚举Schannel接口下注册的所有协议函数，匹配对应TLS版本的协议标识符即可：
  • TLS 1.0：匹配SP_PROT_TLS1_0_CLIENT、SP_PROT_TLS1_0_SERVER常量
  • TLS 1.1：匹配SP_PROT_TLS1_1_CLIENT、SP_PROT_TLS1_1_SERVER常量
  • TLS 1.2：匹配SP_PROT_TLS1_2_CLIENT、SP_PROT_TLS1_2_SERVER常量
  • TLS 1.3：匹配SP_PROT_TLS1_3_CLIENT、SP_PROT_TLS1_3_SERVER常量

检测逻辑覆盖所有场景：包括低版本系统打了官方回移补丁支持高版本TLS的情况（比如Win2012R2打补丁支持TLS1.2、预览版通道系统提前支持TLS1.3），不需要关心系统版本号是多少，只要API枚举到对应协议ID，就证明系统原生支持该版本。

核心检测代码参考：

#include <windows.h>
#include <bcrypt.h>
#include <schannel.h>
#pragma comment(lib, "bcrypt.lib")

bool IsTlsVersionSupported(DWORD protId) {
    DWORD dwIndex = 0;
    PCRYPT_CONTEXT_FUNCTIONS pFuncList = nullptr;
    bool supported = false;
    // 遍历所有配置层级的Schannel函数列表
    for (DWORD configLevel : {CRYPT_LOCAL, CRYPT_DOMAIN, CRYPT_ENTERPRISE}) {
        dwIndex = 0;
        while (BCryptEnumContextFunctions(
            configLevel, 
            L"SSL", 
            NCRYPT_SCHANNEL_INTERFACE, 
            &dwIndex, 
            &pFuncList
        ) == ERROR_SUCCESS) {
            for (ULONG i = 0; i < pFuncList->cFunctions; i++) {
                if ((DWORD)wcstoul(pFuncList->rgpszFunctions[i], nullptr, 16) == protId) {
                    supported = true;
                    break;
                }
            }
            BCryptFreeBuffer(pFuncList);
            if (supported) break;
        }
        if (supported) break;
    }
    return supported;
}

// 调用示例：判断TLS 1.3客户端侧是否支持
bool tls13Supported = IsTlsVersionSupported(SP_PROT_TLS1_3_CLIENT);

适配启用/禁用UI的补充检测逻辑 #

做TLS管控UI还需要判断当前TLS版本的启用状态，这部分直接读取Schannel的配置注册表即可，同样不需要依赖版本号：

• 配置路径：HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols
• 每个TLS版本对应独立子项，子项名称固定为TLS 1.0/TLS 1.1/TLS 1.2/TLS 1.3
• 每个版本子项下分Client、Server两个子项，通过两个DWORD值判断配置状态：
  • Enabled：值为1代表启用，0代表禁用
  • DisabledByDefault：值为1代表默认禁用，0代表默认启用

注意：必须先通过前面的API确认系统原生支持对应TLS版本，再读取注册表配置。如果系统本身不支持该版本，哪怕手动在注册表下创建对应配置项也完全不会生效，避免UI给出错误提示。

方案可靠性说明 #

• 完全规避版本号检测的缺陷：比如你提到的Windows Server 2019和Windows Server 2022主版本号均为10.0，但Server 2019默认未注册TLS1.3协议ID，Server 2022已注册，检测时不需要区分build号就能得到正确结果
• 兼容补丁更新场景：系统通过更新新增TLS版本支持时，版本号不会发生变化，但Schannel注册的协议列表会同步更新，检测结果自动适配
• 完全符合微软官方开发规范，没有使用已被标记为不推荐的版本号检测API

内容的提问来源于stack exchange，提问作者Borislav Ivanov