给curl加上--tlsv1.2，日志却显示SSL connection using TLSv1.3，是参数没生效吗？先别换证书。这个选项通常是在设最低版本，不是把协议锁死到1.2。下面用隔离HTTPS对照，把版本范围、握手失败和证书验证拆开。
一、最低版本，不等于指定唯一版本
curl官方手册明确：--tlsv1.2要求TLS 1.2或更高；要设置上限，使用--tls-max。旧手册曾写成仅允许1.2，但不同TLS库行为不一致，不能拿旧文案推断当前构建。
可以把它理解成门槛：写"至少1.2"，1.3当然也能进门。想做仅1.2的兼容性对照，要同时给出下限1.2和上限1.2；参数不会替客户端安装缺失的协议支持，也不会让服务器接受被禁用的协议。
| 选项 | 边界 |
|---|---|
| --tlsv1.2 | 最低1.2，上限由其他配置决定 |
| --tls-max 1.2 | 最高1.2，不独立指定最低值 |
| 两者一起 | 仅1.2，仍需两端支持 |
二、先记录客户端版本和TLS后端
本轮实测Linux、curl 7.61.1、OpenSSL 1.1.1k后端；旧构建仅用于复现实验，不是部署建议。curl -V显示的是curl实际链接库，系统openssl命令不必与它相同。
bash
curl -V
openssl version官方选项历史中，--tlsv1.2从7.34.0加入，--tls-max从7.54.0加入，--http1.1从7.33.0加入。版本号只是入口条件，还要检查编译后端和本机安全策略。本稿固定TCP上的HTTP/1.1，不把结论外推为HTTP/3测试。
每段Shell单独存为Bash脚本；带exit的代码不要直接粘进登录Shell。example.com/health替换成有权测试的地址，在可写测试目录执行。实验替换成随机回环端口及临时CA，不修改生产信任库。
三、先只设下限，观察实际协商
bash
curl -q --noproxy '*' --http1.1 --tlsv1.2 \
--connect-timeout 5 --max-time 15 -v \
-o probe.body https://example.com/health
rc=$?
printf 'exit=%s\n' "$rc"
exit "$rc"本轮服务同时允许1.2和1.3，客户端这次实际选到1.3；这证明本构建的下限语义，不代表任何服务都必然选最高版本。记录完整退出码、实际协商版本与HTTP状态，不要只搜索一行"connected"。
-q放第一个参数用于跳过默认curl配置，但不清环境；--noproxy用于获准直连的诊断，不应绕过企业强制代理。私有CA须显式提供授权的--cacert文件。不要把-v日志原样外发，认证头、Cookie和地址需脱敏。
配图由DM-Fox辅助生成，经技术与可读性复核。四格是独立概念，不是完整握手时序；本稿限定支持相关选项的TCP TLS客户端。
四、同时设置上下界，验证仅TLS1.2
bash
curl -q --noproxy '*' --http1.1 --tlsv1.2 --tls-max 1.2 \
--connect-timeout 5 --max-time 15 -v \
-o probe.body https://example.com/health
rc=$?
printf 'exit=%s\n' "$rc"
exit "$rc"同一服务、同一证书、同一请求路径，只增加上限，本轮实际协商改为1.2。再将隔离服务改成仅1.3，命令报35且未进入HTTP；这是协议无交集的负例，不应靠重新签证书修复。
| 本轮对照 | 实际结果 |
|---|---|
| 服务1.2至1.3，客户端仅设下限 | 协商1.3，HTTP200，退出0 |
| 同服务，客户端上下限均1.2 | 协商1.2，HTTP200，退出0 |
| 服务仅1.3，客户端仅1.2 | 退出35，没有HTTP请求 |
| 范围匹配，换无关CA | 退出60，没有HTTP请求 |
五、35与60先分层，再追根因
35是TLS连接阶段错误的大类，不是"版本不兼容"的唯一编码。本轮能归因版本无交集，是因为控制了其他变量，并保存服务端事件；生产还可能涉及套件、签名算法、代理或其他握手问题，要看完整错误上下文。
60表示对端证书验证失败。支持TLS1.2不代表证书受信任，协议范围也不会修复名称、链或有效期。错误CA对照在HTTP前失败；相同证书换回正确CA恢复，才构成可解释证据。禁止把-k当成修复。
反过来，协商到1.3也不能单独证明证书有效：必须确认验证没有被关闭，并明确验证的是哪一段连接。HTTPS代理到代理与到目标站的TLS是两层，本稿直连实验没有覆盖它们。
六、把协议对照接到业务验收
若测试契约要求TLS1.2及GET健康检查，下面同时限定版本、HTTP200和精确三个字节OK加换行。-f不替代正文检查；只有日志成功，没有内容证据，仍不能放行。
bash
set -eu
work=$(mktemp -d ./tls-check.XXXXXX)
trap 'rm -rf -- "$work"' EXIT
code=$(curl -q --noproxy '*' --http1.1 \
--tlsv1.2 --tls-max 1.2 --connect-timeout 5 --max-time 15 \
-sS -f -o "$work/body" -w '%{http_code}' \
https://example.com/health) || exit "$?"
[ "$code" = 200 ] || exit 1
printf 'OK\n' > "$work/expected"
cmp -s "$work/body" "$work/expected" || exit 1
printf 'TLS1.2 health contract passed\n'此脚本不跟随重定向，不覆盖已有业务文件；302、空200、错误正文、500和错误CA都必须失败。临时目录在正常退出时清理，强制杀进程与掉电残留要另管。真实接口应换成自己的内容契约，而不是照搬OK。
七、排查收口，不把降级当长期方案
- 先读curl版本与后端，再确认上下界和服务端允许范围。
- 使用新进程做对照，保持名称、终点、证书与HTTP路径一致。
- 握手日志核对实际版本，服务端事件核对是否收到HTTP。
- 保留正确CA和错误CA、正确内容和错误内容两组负例。
- 只为定位临时固定1.2；长期策略按业务安全要求恢复，不盲目降低下限。
版本协商像双方约定语言，证书验证像确认对方身份；语言能聊通，不代表身份就对。这里只完成回环TLS和HTTP契约实验，未宣称生产站点、代理、HTTP/2或HTTP/3已经验收。