| 用途（1.2） | 连接中途请求客户端证书、切换更高安全参数 |
|---|---|
| 风险 | 重协商风暴、Triple Handshake 类漏洞 |
| 加固 | RFC 5746 安全重协商；服务端可禁用重协商 |
| 1.3 替代 | post-handshake authentication、key update |
检测与禁用（nginx 示例）
检测与禁用（nginx 示例）
# nginx 默认对 1.2 客户端证书是后置请求；可用配置控制
ssl_verify_client optional;
ssl_verify_depth 2;抓包里看到同一连接内再次 ClientHello 即重协商；现代 TLS1.3 连接不会再出现。