Flutter项目禁用TLS 1.0/1.1并启用TLS 1.2的实现与配置验证咨询

嗨，我来帮你搞定这个TLS版本配置的问题～咱们一步步来：

一、修改代码确保仅启用TLS 1.2及以上版本 #

你已经用到了setAlpnProtocols，这个方法其实就是用来指定客户端支持的TLS协议版本的，只要你只传入['TLSv1.2', 'TLSv1.3']，就相当于直接禁用了1.0和1.1——因为客户端只会主动协商这些指定的版本，不会再尝试旧的不安全版本了。

不过你的代码可以再完善一下，确保SecurityContext的配置生效，完整的实现示例如下：

@override
HttpClient createHttpClient(SecurityContext? context) {
  // 如果context为null，创建一个默认的安全上下文
  final securityContext = context ?? SecurityContext.defaultContext;
  
  // 指定仅支持TLS 1.2和1.3
  securityContext.setAlpnProtocols(['TLSv1.2', 'TLSv1.3'], true);
  
  return super.createHttpClient(securityContext)
    // 注意：这个跳过证书验证的回调**只适合测试环境**，生产环境一定要删掉！
    ..badCertificateCallback = (X509Certificate cert, String host, int port) => true;
}

这里要特别提醒：badCertificateCallback跳过证书验证是非常不安全的，正式上线前一定要移除，不然会有中间人攻击的风险。

二、验证配置是否生效的几种方法 #

你可以通过以下方式确认旧版本TLS已经被禁用：

• 抓包工具验证：用Wireshark或者Charles抓你的HTTP请求，查看TLS握手阶段的协议版本字段。如果看到协商的是TLS 1.2或1.3，就说明配置生效了；如果尝试连接仅支持TLS 1.0/1.1的服务器，请求会直接失败。
• 测试服务器验证：找一个仅支持TLS 1.2+的测试服务器，用你的代码发送请求，如果能正常返回数据，说明配置没问题；反过来，找一个只支持TLS 1.0的服务器，请求应该会抛出连接错误，这就证明旧版本已经被禁用了。
• 代码日志辅助确认：虽然Dart原生没有直接暴露协商后的TLS版本字段，但你可以在请求的错误回调里监听连接失败的原因。比如当尝试连接仅支持TLS 1.0的服务器时，会收到类似“握手失败”的错误，这也能间接证明旧版本已被禁用。
• 检查安全上下文配置：你可以在代码里打印securityContext.getAlpnProtocols()，确认返回的是你指定的['TLSv1.2', 'TLSv1.3']，这也能侧面验证配置已经生效。

这样操作下来，就能确保你的Flutter项目不再使用不安全的TLS 1.0和1.1版本啦～

备注：内容来源于stack exchange，提问作者shane