AppServiceProvider 的 boot() 中重定向不生效，因中间件执行早于服务提供者，此时响应对象未创建；正确做法是使用 TrustProxies 中间件配合 APP_URL 强制 HTTPS，或在 Kernel 的全局中间件中添加 ForceHttps。
为什么 AppServiceProvider 里写重定向不生效
因为 Laravel 的中间件执行顺序早于服务提供者注册逻辑，AppServiceProvider::boot() 里直接调用 redirect() 或修改响应，早已错过请求处理链路——此时路由还没匹配，Response 对象甚至都还没创建。
常见错误现象：页面白屏、跳转无限循环、HTTP 状态码变成 500 且日志里报 Headers already sent。
- 别在
boot()里用return redirect()或手动header() - 真正起作用的位置是中间件，尤其是全局中间件或内置于
TrustProxies后的时机 - 如果用了负载均衡或 CDN（如 Cloudflare），真实协议可能被隐藏，仅靠
$_SERVER['HTTPS']判断会失效
用 TrustProxies 中间件配合 APP_URL 强制 HTTPS
Laravel 原生支持通过配置识别代理传来的协议头，这是最安全、兼容性最好的方式。关键不是“重定向”，而是让框架内部所有 URL 生成（如 url()、route()）自动走 HTTPS。
实操步骤：
- 确保
config/app.php中'url'配置为https://yourdomain.com（不是http） - 在
app/Http/Middleware/TrustProxies.php中设置：protected $proxies = '*';<br>protected $headers = Request::HEADER_X_FORWARDED_ALL;
- 确认 Web 服务器（Nginx/Apache）或云服务商已正确设置
X-Forwarded-Proto: https头
这样之后，url('/login') 返回的就是 https://...，Laravel 自动信任并使用该协议，无需手动跳转。
必须用 301 重定向时，只在 Kernel 中加中间件
如果你确实需要强制跳转（比如 SEO 迁移、旧链接清理），唯一可靠位置是 app/Http/Kernel.php 的 $middleware 数组顶部——它在所有路由和控制器前执行，且能安全操作响应。
新建中间件：php artisan make:middleware ForceHttps，内容如下：
public function handle($request, Closure $next)
{
if (!$request->secure() && app()->environment('production')) {
return redirect()->to($request->fullUrl())->secure();
}
return $next($request);
}
- 务必加
app()->environment('production')条件，避免本地开发时误跳 - 用
redirect()->to(...)->secure()而非硬编码https://，它会自动替换协议并保留路径、查询参数 - 不要在中间件里判断
$_SERVER['HTTPS'] === 'on'，它在反向代理后不可靠
APP_URL 和 URL::forceScheme('https') 的区别与风险
两者都能影响生成的 URL，但作用层级不同，混用容易出问题。
-
APP_URL是底层基础配置，影响url()、邮件链接、广播 Pusher 地址等所有地方；改错会导致后台任务、队列、通知全部发错链接 -
URL::forceScheme('https')是运行时覆盖，只对当前请求有效，适合灰度或临时调试，但若放在AppServiceProvider的boot()里，会在每次请求都执行，性能无害但掩盖了真实配置问题 - 如果用了 Horizon、Telescope 或其他依赖 URL 生成的扩展包，它们读的是
APP_URL，不是运行时 scheme
最容易被忽略的一点：环境变量缓存。改完 .env 里的 APP_URL，记得运行 php artisan config:clear，否则配置不会更新。
