如何通过WinInet程序化修改SSL/TLS支持？能否按应用连接启用禁用协议？

好问题！其实WinInet确实支持按单个连接或应用进程来控制SSL/TLS协议的启用/禁用，完全不用修改系统级的Internet选项。下面我分几个部分详细讲清楚具体操作：

WinInet提供了InternetSetOption函数，配合INTERNET_OPTION_SECURITY_FLAGS选项，能给单个连接指定允许使用的SSL/TLS协议。核心是通过位掩码组合SECURITY_FLAG_ENABLE_*系列常量，来开启或关闭对应协议。

常用的协议控制常量包括：

• SECURITY_FLAG_ENABLE_SSL3：启用SSL 3.0
• SECURITY_FLAG_ENABLE_TLS1_0：启用TLS 1.0
• SECURITY_FLAG_ENABLE_TLS1_1：启用TLS 1.1
• SECURITY_FLAG_ENABLE_TLS1_2：启用TLS 1.2
• SECURITY_FLAG_ENABLE_TLS1_3：启用TLS 1.3（仅Windows 10 1903及以上版本支持）

举个C++代码示例，创建一个只允许TLS 1.2和1.3的HTTPS连接：

#include <windows.h>
#include <wininet.h>
#pragma comment(lib, "wininet.lib")

int main() {
    // 初始化WinInet环境
    HINTERNET hInternet = InternetOpen(L"MyCustomApp", INTERNET_OPEN_TYPE_DIRECT, NULL, NULL, 0);
    if (!hInternet) return 1;

    // 创建到目标服务器的连接
    HINTERNET hConnect = InternetConnect(hInternet, L"target-server.com", INTERNET_DEFAULT_HTTPS_PORT, NULL, NULL, INTERNET_SERVICE_HTTP, 0, 0);
    if (!hConnect) {
        InternetCloseHandle(hInternet);
        return 1;
    }

    // 配置SSL/TLS协议：仅启用TLS1.2和TLS1.3
    DWORD dwSecurityFlags = SECURITY_FLAG_ENABLE_TLS1_2 | SECURITY_FLAG_ENABLE_TLS1_3;
    BOOL bSetOptionSuccess = InternetSetOption(hConnect, INTERNET_OPTION_SECURITY_FLAGS, &dwSecurityFlags, sizeof(dwSecurityFlags));
    
    if (bSetOptionSuccess) {
        // 继续创建HTTP请求并发送
        HINTERNET hRequest = HttpOpenRequest(hConnect, L"GET", L"/api/data", NULL, NULL, NULL, INTERNET_FLAG_SECURE, 0);
        if (hRequest) {
            HttpSendRequest(hRequest, NULL, 0, NULL, 0);
            // 处理响应逻辑...
            InternetCloseHandle(hRequest);
        }
    }

    // 清理资源
    InternetCloseHandle(hConnect);
    InternetCloseHandle(hInternet);
    return 0;
}

这种方式的好处是：只影响当前这个连接，不会改动系统全局设置，也不会干扰应用内其他连接的协议配置。

如果希望应用里所有WinInet连接都使用统一的协议配置，不用逐个连接设置，可以在调用InternetOpen初始化WinInet环境后，直接给根句柄设置安全标志。后续所有基于这个根句柄创建的连接，都会自动继承这个配置。

示例代码：

HINTERNET hInternet = InternetOpen(L"MyCustomApp", INTERNET_OPEN_TYPE_DIRECT, NULL, NULL, 0);
if (hInternet) {
    // 给整个应用的WinInet连接设置默认规则：禁用旧协议，只启用TLS1.2+
    DWORD dwDefaultFlags = SECURITY_FLAG_ENABLE_TLS1_2 | SECURITY_FLAG_ENABLE_TLS1_3;
    InternetSetOption(hInternet, INTERNET_OPTION_SECURITY_FLAGS, &dwDefaultFlags, sizeof(dwDefaultFlags));

    // 后续创建的所有连接都会自动使用这个配置
    HINTERNET hConnect1 = InternetConnect(hInternet, L"server1.com", INTERNET_DEFAULT_HTTPS_PORT, NULL, NULL, INTERNET_SERVICE_HTTP, 0, 0);
    HINTERNET hConnect2 = InternetConnect(hInternet, L"server2.com", INTERNET_DEFAULT_HTTPS_PORT, NULL, NULL, INTERNET_SERVICE_HTTP, 0, 0);
    // ...
}

• 位掩码逻辑：不需要的协议，不要加入对应的SECURITY_FLAG_ENABLE_*常量即可。比如要禁用SSL 3.0，就不要包含SECURITY_FLAG_ENABLE_SSL3。
• 系统版本兼容性：TLS 1.3的支持从Windows 10 1903开始，如果你需要兼容旧系统，要先判断系统版本再决定是否添加对应标志。
• 优先级：通过InternetSetOption设置的协议规则，会覆盖系统Internet选项中的全局设置，确保你的应用按预期使用指定协议。
• 域名级控制：如果需要针对特定域名使用不同协议，只需给对应域名的连接单独设置标志即可，灵活性很高。

内容的提问来源于stack exchange，提问作者Carlos B. Feitoza Filho