TLS 1.3 新特性与优势
好，咱们接着聊。上一章我们搭好了基本概念，这一章直奔主题——TLS 1.3 到底改了啥？
我刚接触 TLS 1.3 时，第一反应是：握手怎么少了好几轮？没错，这是最直观的感受。但背后的设计思路，值得你花时间吃透。
核心变化：握手协议的重构
TLS 1.3 的握手流程从 TLS 1.2 的 2-RTT 压缩到了 1-RTT，甚至 0-RTT。说白了就是把非对称加密和对称加密的协商合并了，减少了不必要的来回。
关键点：不再是先发 ClientHello 等 ServerHello，再交换证书和密钥。而是 ClientHello 里直接带着支持的密码套件和密钥交换参数，ServerHello 一把就还回来。
我记得第一次在自己的 SDK 里实现这个流程时，被 Wireshark 抓包吓了一跳——怎么只有三个包就完成了？我翻了好几遍 RFC 8446 确认没漏掉步骤。
密码套件大瘦身
TLS 1.2 里密码套件多得让人头疼，光 RSA 密钥交换就能分出好几种模式。TLS 1.3 直接砍掉了不安全的算法：
- 删除了 RSA 密钥传输（KEM 模式）
- 禁止 RC4、3DES、CBC 模式
- 只保留 AEAD 认证加密
- 密钥协商强制使用 (EC)DHE
现在 TLS 1.3 的密码套件只有 5 种，实际上主流用的就两种：TLS_AES_128_GCM_SHA256 和 TLS_AES_256_GCM_SHA384。我做 SDK 适配时，直接只支持这两种，兼容性完全够。
| 特性 | TLS 1.2 | TLS 1.3 |
|---|---|---|
| 握手往返 | 2-RTT | 1-RTT / 0-RTT |
| 密码套件数量 | 30+ | 5 |
| 密钥交换 | RSA / DHE / ECDHE | 仅 (EC)DHE |
| 证书加密 | 可选 | 必需（EncryptedExtensions） |
| 前向安全性 | 仅 DHE 模式 | 所有握手 |
| 0-RTT 重放 | 不支持 | 支持（允许有状态重放） |
个人建议：如果你从 TLS 1.2 迁移，别想着逐个改密码套件。直接按 TLS 1.3 的套件列表重新生成，更省事。
0-RTT 的能力与代价
0-RTT 是 TLS 1.3 的招牌特性，允许客户端在第一次连接后，后续直接发送应用数据。但这是一把双刃剑。
我曾经在一个即时通讯项目里用了 0-RTT，结果上线后发现重放攻击问题。因为 0-RTT 数据本身没有防重放机制，需要应用层自己处理。我后来加了一个 nonce 计数器才解决。
避坑指南：0-RTT 只适合幂等请求，比如 HTTP GET。对于会导致状态变更的 POST 或 PUT，一定要禁用 0-RTT 或在应用层做幂等性校验。
握手流程对比图
这张图展示了 TLS 1.2 和 TLS 1.3 握手的差异，你一眼就能看出少了哪几步。
前向安全的强约束
TLS 1.3 的另一个激进改动是：所有握手都必须使用 (EC)DHE 临时密钥协商。这意味着即使服务器私钥泄露之前被记录的会话流量也无法解密。
在实际部署中，这会影响性能。我在做 SDK 性能测试时发现，ECDHE 密钥对生成耗时大约 0.5~2ms（取决于曲线）。对于高频握手场景（比如物联网设备），这个开销不能忽略。
我的经验：选择曲线要谨慎。X25519 比 P-256 快大约 30%，推荐作为首选。P-384 和 P-521 在国内合规场景下才需要，别滥用。
ServerHello 加密与证书隐藏
TLS 1.3 在 ServerHello 之后的所有消息都加密了。包括服务端证书。这在安全层面是个巨大进步——中间人无法看到服务器是用哪个证书签发的。
但这也带来一个适配问题：你的 SDK 必须能正确处理 EncryptedExtensions 消息，并在解密后才能拿到证书做校验。我刚开始调的时候，忘了先解密就解析证书，结果总是报证书格式错误，排查了半天才发现顺序反了。
特别注意：证书消息紧随 EncryptedExtensions 之后，但它是加密的。解密时要用握手阶段的临时密钥，而不是最终的应用密钥。两者不同，别搞混。
向下兼容的策略
TLS 1.3 不能直接兼容 TLS 1.2 之前的版本，但可以通过 HCL（Hello ClientLate） 信标实现版本协商。检测到对方不支持 1.3 时会自动降级到 1.2。
这在实际中很常见。我在对接某国产操作系统时，它只支持 TLS 1.2。SDK 里加个版本回退逻辑就行，但注意证书和密钥交换算法也要切换。
最后总结一张表，方便你对照决策：
| 场景 | 推荐做法 |
|---|---|
| 新项目 | 直接只用 TLS 1.3，关闭 1.2 |
| 存量系统迁移 | 先灰度开放 1.3，保留 1.2 降级 |
| 物联网低功耗设备 | 使用 0-RTT + 会话恢复，但限制重放窗口 |
| 金融/政企合规 | 强制使用 P-384 曲线，禁用 0-RTT |
说白了，TLS 1.3 就是一次彻底的减法设计。砍掉冗余、强制执行安全属性、减少往返。做 SDK 适配时，你只需要抓住三个核心：握手流程、密码套件列表、0-RTT 控制。其他细节在具体实现时再补就行。