tls配置服务器最小版本

如果你只想让 Go HTTPS 服务端拒绝 TLS 1.0、TLS 1.1，同时继续接受更高版本，配置重点就是 tls.Config.MinVersion：把它设为 tls.VersionTLS12，不要为了“锁定最低版本”顺手设置 MaxVersion。这样服务器的下限明确是 TLS 1.2，上限仍由当前 Go 版本支持的最高版本决定。

官方资料：https://pkg.go.dev/crypto/tls

本文只讨论服务端版本边界、HTTPS 接入和兼容排查，不把密码套件、证书签发和完整安全审计混在一起。

MinVersion 到底限制了什么

MinVersion 表示服务器可以接受的最低 TLS 版本。它不是“只使用这个版本”，而是给协商集合设置下限。例如下面的配置允许 TLS 1.2 及以上版本：

package main

import "crypto/tls"

func serverTLSConfig() *tls.Config {
	return &tls.Config{
		// 只拒绝低于 TLS 1.2 的连接，TLS 1.3 仍可继续协商。
		MinVersion: tls.VersionTLS12,
	}
}

当前 crypto/tls 文档说明，未设置时最低版本默认按 TLS 1.2 处理，最高版本默认使用库支持的最高版本（当前为 TLS 1.3）。显式写出 MinVersion 的价值，是把安全边界固定在业务配置中，减少运行环境或兼容开关变化带来的歧义。

不要把 MaxVersion 误当成最低版本

MinVersion 和 MaxVersion 是两个方向相反的边界。只设置最低版本时，服务端仍能与支持 TLS 1.3 的客户端协商 TLS 1.3；如果同时把 MaxVersion 写成 tls.VersionTLS12，才会主动排除 TLS 1.3。

因此，标题所说的“服务器最小版本”对应的是 MinVersion，不是把版本范围缩成一个值。版本下限越高，旧客户端越容易在握手阶段失败；版本上限越低，则可能错过新版本协议能力，二者要分开评估。

把最低版本接入 HTTPS 服务

对于标准库 HTTPS 服务，可以把同一个 tls.Config 放到 http.Server.TLSConfig 中。证书仍由服务端加载，最低版本只负责协议协商边界：

package main

import (
	"crypto/tls"
	"log"
	"net/http"
)

func main() {
	server := &http.Server{
		Addr: ":8443",
		TLSConfig: &tls.Config{
			// 明确拒绝 TLS 1.0/1.1，同时保留 TLS 1.3 的协商空间。
			MinVersion: tls.VersionTLS12,
		},
	}

	// ListenAndServeTLS 会读取证书和私钥，并使用 Server.TLSConfig。
	if err := server.ListenAndServeTLS("server.crt", "server.key"); err != nil {
		// 服务退出时保留错误，便于区分启动失败和正常关闭。
		log.Fatal(err)
	}
}

如果使用 tls.Listen，同样把配置传给监听器即可。证书、私钥和 MinVersion 属于同一个服务配置边界；不要在每次请求里临时修改已经被连接使用的 tls.Config。

旧客户端连不上时怎么排查

如果设置最低版本后出现握手失败，先确认客户端是否只支持 TLS 1.0 或 TLS 1.1。服务端的 MinVersion 只是拒绝低版本，不会把失败转换成 HTTP 状态码，因为连接在 HTTP 请求建立之前就已经失败。

• 客户端只支持 TLS 1.0/1.1：升级客户端或明确评估是否需要兼容，不能靠把 MaxVersion 也设低来解决所有问题。
• 客户端支持 TLS 1.2 但仍失败：继续查看证书链、服务器名称、密码套件和客户端实现，而不要只反复修改 MinVersion。
• 代码没有显式设置版本：确认实际 Go 版本与兼容开关，因为默认值可能随 Go 版本变化；显式配置更便于审查。

Go 1.26 发布说明还提到，Go 1.27 起与 tls10server 相关的兼容开关移除后，客户端和服务端默认最低版本都会是 TLS 1.2。这个变化不代表每个服务都应把 MaxVersion 固定为 TLS 1.2，而是说明默认下限已经收紧。

常见问题

只设置 MinVersion 会禁用 TLS 1.3 吗？

不会。只设置 MinVersion: tls.VersionTLS12 时，TLS 1.3 仍在允许范围内；只有显式设置较低的 MaxVersion 才会排除它。

服务端最低版本能设置成 TLS 1.1 吗？

技术上常量仍存在，但新服务通常不应为了迁就无法升级的旧客户端而降低边界。若确有遗留系统需求，应先确认客户端范围、隔离方式和迁移期限，再做有记录的兼容决策。

MinVersion 是 http.Server 的字段吗？

不是。它属于 crypto/tls.Config，HTTP 服务通过 http.Server.TLSConfig 或 TLS 监听器使用这份配置。

总结

Go 服务端配置 TLS 最小版本的直接写法是 MinVersion: tls.VersionTLS12。把它理解成“下限”而不是“唯一版本”，就不会误把 TLS 1.3 一起关掉；遇到旧客户端失败时，再分别排查版本能力、证书和其他握手条件。