吐鲁番搞技术的，安全加固前兼容性问题怎么办

我是吐鲁番一个做葡萄干ERP系统的技术负责人，前几年公司要做安全加固，结果一升级系统崩了。旧版IE打不开、移动端无法访问、API接口报错。后来我才明白，安全加固和兼容性是一对矛盾，得讲究方法。

安全加固常见的兼容性问题

第一，HTTPS升级后老浏览器无法访问。吐鲁番一些工厂的电脑还是Windows 7+IE8，不支持现代TLS协议。一升级HTTPS就打不开。

第二，加密算法升级导致API报错。老系统用的是MD5、SHA1，升级到SHA256后签名验证失败。API调用全报错。

第三，权限收紧后老代码逻辑崩了。原来代码里有些绕过权限的逻辑，一收紧就暴露问题。

第四，跨域策略变了前端报错。CORS策略收严后，老前端的跨域请求全被拦截。

吐鲁番技术团队的处理方法

第一步，全面摸底。吐鲁番老板加固前，先盘点所有客户端。什么浏览器、什么版本、什么系统，都有统计。我当初盘点了葡萄干ERP的客户端，发现30%还在用Win7+IE。

第二步，分级兼容。对老客户端保留特殊通道，新客户端用新标准。吐鲁番ERP对Win7+IE的客户端，单独保留一个TLS 1.0的子域名。

第三步，渐进式升级。别一次全升，先升10%观察一周，没问题再扩到50%，再扩到100%。我当初用了3个月才完成全部升级。

第四步，应急预案。升级出问题能5分钟内回滚。吐鲁番老板加固前一定要做这个预案，不能等崩了再救。

具体技术方案

第一，HTTPS兼容。服务器同时支持TLS 1.0、1.1、1.2、1.3，老客户端用1.0-1.1，新客户端用1.2-1.3。这是Nginx一行配置的事。

第二，加密算法兼容。API同时支持MD5和SHA256，老调用方继续用MD5，新调用方用SHA256。吐鲁番ERP有几百个老调用方，不能一刀切。

第三，权限分级。核心数据严控、一般数据中等、公开数据放开。吐鲁番老板的客户信息、订单数据要严控，行业资讯可以放开。

第四，前端兼容。CORS策略配置白名单，老域名放行，新域名严控。

总结

吐鲁番技术团队做安全加固，兼容性问题必须提前想清。摸底、分级、渐进、应急，四步走完，加固和兼容能兼得。你想给吐鲁番技术团队做安全加固找我，我帮你把每一步都安排到位，让系统既安全又不掉链子。