如何为老旧浏览器配置非SSL或弱加密访问并兼顾网站安全性？

我非常理解你的困境——既要兼容那些15年左右的老旧设备/浏览器，又不想完全放弃网站安全性，还要避免让用户手动选择HTTP/HTTPS的麻烦。结合Apache的特性，这里有几个可行的解决方案供你参考：

方案一：基于User-Agent的条件自动重定向 #

这应该是最贴合你需求的方案：自动识别浏览器类型，把支持现代SSL的用户重定向到HTTPS，让老旧浏览器留在HTTP，完全不用用户手动选择。

你可以借助Apache的mod_rewrite模块实现，配置示例如下：

RewriteEngine On

# 匹配已知不支持现代SSL的老旧浏览器（示例规则，可根据你的兼容需求调整）
# 这里涵盖了IE6-8、老版本Opera、Netscape等典型老旧浏览器
RewriteCond %{HTTP_USER_AGENT} ^(.*MSIE [6-8].*|.*Opera/[1-9].*|.*Netscape/[4-7].*)$ [NC]
RewriteRule ^(.*)$ http://%{HTTP_HOST}$1 [L]

# 其他所有浏览器（默认支持现代SSL）强制重定向到HTTPS
RewriteRule ^(.*)$ https://%{HTTP_HOST}$1 [R=301,L]

需要注意的是，User-Agent并非100%可靠，但针对这类明确的老旧浏览器，匹配规则的准确率已经足够。你可以根据实际需要兼容的设备，补充或调整User-Agent的匹配字符串。

方案二：自定义Cipher套件，尝试兼容老旧浏览器的SSL访问 #

你提到Apache 2.4.7+会默认禁用NULL、export级密码套件，但我们可以手动指定包含部分弱但老浏览器支持的套件，同时优先使用现代安全套件，让新浏览器自动选择高安全选项，老浏览器也能匹配到兼容的加密方式。

配置示例如下：

# 优先使用现代安全套件，末尾加入老浏览器支持的弱加密套件
SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA256:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:DES-CBC3-SHA
# 禁用完全过时的SSL/TLS版本，保留TLS1.2及以上（如果老浏览器连TLS1.2都不支持，可能只能放弃SSL）
SSLProtocol All -SSLv2 -SSLv3 -TLSv1 -TLSv1.1

⚠️ 注意：这种方式会引入一定的安全风险，因为包含了弱加密套件。如果不是必须让老旧浏览器使用SSL，优先选择方案一。

方案三：双域名/双端口分离访问 #

如果需要更清晰的安全边界，可以用两个域名分离兼容访问和安全访问：

• 主域名（比如www.example.com）强制HTTPS，面向支持现代SSL的用户；
• 专门的旧域名（比如old.example.com）仅提供HTTP访问，专门服务老旧设备。

Apache配置示例：

# 主域名：强制HTTPS重定向
<VirtualHost *:80>
    ServerName www.example.com
    Redirect permanent / https://www.example.com/
</VirtualHost>

# 旧域名：仅提供HTTP访问
<VirtualHost *:80>
    ServerName old.example.com
    # 这里放置网站内容的配置（和主域名保持一致即可）
</VirtualHost>

你还可以在主域名的页面上添加提示，告诉老旧浏览器用户切换到旧域名，或者通过User-Agent自动跳转过去。这种方案的优势是安全策略清晰，便于管理和维护。

额外的安全建议 #

• 即使是HTTP的旧站点，也要避免在上面处理敏感内容（比如用户登录、支付等），这些功能仅在HTTPS站点提供；
• 在HTTPS站点启用HSTS（HTTP严格传输安全），让支持的浏览器强制使用HTTPS，避免被劫持；
• 定期更新老旧浏览器的兼容列表，移除不再需要支持的设备，逐步缩小安全风险范围。

备注：内容来源于stack exchange，提问作者Jomo