Rails(5.1.3)集成Savon(2.11.0)：如何配置TLS 1.2请求？

我来帮你搞定这个问题——第三方服务升级安全协议的要求确实经常让人头疼，不过针对你的场景，其实不需要动Rails全局设置，只需要在Savon客户端里做针对性配置就好，下面给你拆解具体步骤和最佳实践：

先明确核心结论：优先局部配置，不要全局修改Rails #

全局改Rails的SSL设置会影响所有请求，而你只需要给这个特定的第三方服务调用强制TLS 1.2，所以局部配置是更合理的选择。

为什么你之前的配置没生效？ #

你尝试的ssl_version: :TLSv1_2方向是对的，但可能有几个细节没注意到：

1. 符号/字符串的写法：有些版本的Savon/HTTPI对符号的支持可能有差异，试试用字符串"TLSv1_2"代替符号；
2. Ruby/OpenSSL版本支持：TLS 1.2需要Ruby 2.0+和OpenSSL 1.0.1c以上版本，你可以在终端运行ruby -v和openssl version确认下，Rails 5.1.3对应的Ruby版本应该是满足的，但OpenSSL版本别太低；
3. HTTPI适配器的隐藏配置：Savon底层依赖HTTPI，默认用Net::HTTP，但有时候需要把SSL配置放到http参数里才能生效。

正确的配置方式（按优先级排序） #

1. 基础Savon客户端配置（推荐） #

直接在创建Savon客户端时明确指定SSL版本，同时加上安全的SSL验证设置：

client = Savon.client(
  wsdl: "你的第三方服务WSDL地址",
  ssl_version: :TLSv1_2, # 或者试下字符串 "TLSv1_2"
  ssl_verify_mode: :peer, # 保持SSL证书验证，不要禁用！
  ssl_ca_cert_file: "/path/to/your/ca_certs.pem" # 如果服务要求指定CA证书的话
)

2. 针对HTTPI的显式配置 #

如果上面的方式还是没生效，试试把SSL配置放到http参数里，直接给底层的HTTP客户端传参：

client = Savon.client(
  wsdl: "你的第三方服务WSDL地址",
  http: {
    ssl_version: :TLSv1_2,
    verify_mode: OpenSSL::SSL::VERIFY_PEER
  }
)

3. 全局配置（不推荐，万不得已才用） #

如果你的所有外部请求都需要强制TLS 1.2，才考虑全局设置，在Rails的初始化文件（比如config/initializers/ssl.rb）里加：

OpenSSL::SSL::SSLContext::DEFAULT_PARAMS[:ssl_version] = :TLSv1_2

但再次强调，这个会影响所有Ruby进程的HTTP请求，除非必要别用。

最佳实践建议 #

• 验证配置是否生效：开启Savon的调试日志，确认请求用的是TLS 1.2。配置方式：

  client = Savon.client(
    wsdl: "你的WSDL地址",
    log: true,
    log_level: :debug,
    ssl_version: :TLSv1_2
  )
  

  日志里会输出SSL握手的相关信息，能直接看到使用的协议版本。
• 不要禁用SSL验证：除非是测试环境，否则绝对不要设置ssl_verify_mode: :none，这会让你的请求暴露在中间人攻击的风险里，正确配置CA证书才是安全做法。
• 检查适配器兼容性：如果你用了非默认的HTTP适配器（比如Curb），需要对应调整适配器的SSL配置，比如Curb的话要确保版本支持TLS 1.2，同时在Savon客户端里指定adapter: :curb。

内容的提问来源于stack exchange，提问作者user984621