当前位置：首页 > 文章列表 > Golang > Go教程 > tls配置服务器最小版本

tls配置服务器最小版本

来源：17golang原创 2026-11-15 06:28:53 0浏览收藏

如果你只想让 Go HTTPS 服务端拒绝 TLS 1.0、TLS 1.1，同时继续接受更高版本，配置重点就是 tls.Config.MinVersion：把它设为 tls.VersionTLS12，不要为了“锁定最低版本”顺手设置 MaxVersion。这样服务器的下限明确是 TLS 1.2，上限仍由当前 Go 版本支持的最高版本决定。

官方资料：https://pkg.go.dev/crypto/tls

本文只讨论服务端版本边界、HTTPS 接入和兼容排查，不把密码套件、证书签发和完整安全审计混在一起。

MinVersion 到底限制了什么

MinVersion 表示服务器可以接受的最低 TLS 版本。它不是“只使用这个版本”，而是给协商集合设置下限。例如下面的配置允许 TLS 1.2 及以上版本：

package main

import "crypto/tls"

func serverTLSConfig() *tls.Config {
	return &tls.Config{
		// 只拒绝低于 TLS 1.2 的连接，TLS 1.3 仍可继续协商。
		MinVersion: tls.VersionTLS12,
	}
}

当前 crypto/tls 文档说明，未设置时最低版本默认按 TLS 1.2 处理，最高版本默认使用库支持的最高版本（当前为 TLS 1.3）。显式写出 MinVersion 的价值，是把安全边界固定在业务配置中，减少运行环境或兼容开关变化带来的歧义。

TLS客户端支持版本、MinVersion下限、MaxVersion上限与可协商交集的静态说明图 — 图1：TLS 版本边界说明图，展示 MinVersion 如何裁剪服务器可接受的最低版本。

不要把 MaxVersion 误当成最低版本

MinVersion 和 MaxVersion 是两个方向相反的边界。只设置最低版本时，服务端仍能与支持 TLS 1.3 的客户端协商 TLS 1.3；如果同时把 MaxVersion 写成 tls.VersionTLS12，才会主动排除 TLS 1.3。

配置	含义	适用判断
`MinVersion: tls.VersionTLS12`	最低 TLS 1.2，最高版本跟随 Go 默认	一般 HTTPS 服务的清晰默认边界
`MinVersion: tls.VersionTLS13`	只接受 TLS 1.3 及以上	客户端能力完全可控的内网或专用协议
`MaxVersion: tls.VersionTLS12`	主动不使用 TLS 1.3	只有明确兼容原因时才考虑

因此，标题所说的“服务器最小版本”对应的是 MinVersion，不是把版本范围缩成一个值。版本下限越高，旧客户端越容易在握手阶段失败；版本上限越低，则可能错过新版本协议能力，二者要分开评估。

把最低版本接入 HTTPS 服务

对于标准库 HTTPS 服务，可以把同一个 tls.Config 放到 http.Server.TLSConfig 中。证书仍由服务端加载，最低版本只负责协议协商边界：

package main

import (
	"crypto/tls"
	"log"
	"net/http"
)

func main() {
	server := &http.Server{
		Addr: ":8443",
		TLSConfig: &tls.Config{
			// 明确拒绝 TLS 1.0/1.1，同时保留 TLS 1.3 的协商空间。
			MinVersion: tls.VersionTLS12,
		},
	}

	// ListenAndServeTLS 会读取证书和私钥，并使用 Server.TLSConfig。
	if err := server.ListenAndServeTLS("server.crt", "server.key"); err != nil {
		// 服务退出时保留错误，便于区分启动失败和正常关闭。
		log.Fatal(err)
	}
}

如果使用 tls.Listen，同样把配置传给监听器即可。证书、私钥和 MinVersion 属于同一个服务配置边界；不要在每次请求里临时修改已经被连接使用的 tls.Config。