force_https() 未生效主因是反向代理不透传 HTTPS 头，CI4 已移除该函数，需用中间件实现；默认 302 跳转，改 301 需手动重写；HTTPS 后须统一资源协议避免混合内容。
force_https() 函数到底有没有生效？
没生效，大概率是因为它只在 HTTP 请求头里检测 HTTPS 是否为 on 或 1，而反向代理（比如 Nginx、Cloudflare）默认不透传这个头。你直接访问 https://example.com，但 PHP 看到的仍是 $_SERVER['HTTPS'] === ''，force_https() 就当没这回事。
实操建议：
- 检查
$_SERVER['HTTPS']实际值：var_dump($_SERVER['HTTPS'] ?? 'not set'); - Nginx 配置里必须加：
fastcgi_param HTTPS on;（放在location ~ \.php$块内） - 用 Cloudflare 时，要启用「Always Use HTTPS」+ 在源站 Nginx 加
set $real_https off; if ($http_x_forwarded_proto = "https") { set $real_https on; } fastcgi_param HTTPS $real_https;
为什么在 CodeIgniter 4 里调用 force_https() 没反应？
因为 force_https() 是 CodeIgniter 3 的全局辅助函数，CI4 已移除，没有同名替代——它被拆解进中间件和 URL 生成逻辑里。硬搬 CI3 的写法只会报 Call to undefined function force_https()。
实操建议：
- CI4 中统一 HTTPS 跳转，应在中间件中处理，比如新建
App\Middlewares\ForceHttps，在handle()里判断$request->getUri()->getScheme() !== 'https'，然后return redirect()->to(...) - 若只是确保生成的 URL 是 HTTPS，在
app/Config/App.php中设public $baseURL = 'https://example.com';，并确保public $forceGlobalSecureRequests = true; - 别在控制器构造函数或
initController()里调force_https()—— CI4 不加载 CI3 辅助函数文件
force_https() 重定向是 302 还是 301？能改吗？
默认是 302 临时重定向，且无法通过参数控制。CodeIgniter 3 的 force_https() 内部固定调用 redirect('', 'location', 302)，没有暴露状态码接口。
实操建议：
- 需要 301 永久跳转时，别用
force_https()，直接手写：header('Location: https://' . $_SERVER['HTTP_HOST'] . $_SERVER['REQUEST_URI'], true, 301); exit; - 如果已在多个地方用了
force_https()，可临时覆盖：在application/helpers/url_helper.php末尾重定义该函数，把302换成301（注意不要破坏原有逻辑分支） - 注意：301 缓存强，测试阶段务必用无痕模式，否则浏览器可能死锁在旧跳转上
HTTPS 强制后，AJAX 请求跨域或混用 HTTP 资源怎么办？
页面变成 HTTPS 后，所有 <script></script>、<img alt="CodeIgniter全局函数force_https强制HTTPS_CodeIgniterHTTPS函数应用【方法】" >、fetch() 若仍用 http:// 协议加载资源，浏览器会直接拦截，控制台报 Mixed Content 错误，不是 force_https() 的问题，而是资源路径没同步升级。
实操建议：
- 静态资源路径别写死协议，用协议相对地址：
//cdn.example.com/js/app.js，或更推荐用base_url()/site_url()助手函数生成 - AJAX 接口地址统一走相对路径（如
/api/data），避免硬编码http:// - 检查第三方 SDK 初始化代码，比如百度统计、微信 JS-SDK，它们常自带
http://默认域名，需手动替换为https://或适配协议自动识别
最麻烦的其实是开发环境本地没 HTTPS，但又想模拟线上行为——这时候别依赖 force_https()，用 Nginx 或 Caddy 做一层本地 HTTPS 代理更靠谱，否则各种 Mixed Content 和证书警告会反复打断调试节奏。
