直接用 RewriteRule 会失败是因为未加 RewriteCond 判断 HTTPS 状态，导致 HTTPS 请求也被重定向，引发循环；正确做法是仅对 %{HTTPS} off 时跳转，或在 :80 虚拟主机中用 Redirect。
为什么直接用 RewriteRule 会失败？
很多人在 .htaccess 或虚拟主机配置里写：RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]，却发现跳转不生效，甚至出现重定向循环。根本原因是：Apache 默认不会在 HTTP 请求中识别 HTTPS 状态，%{HTTPS} 变量在非 SSL 虚拟主机里始终是 off，但更关键的是——这个规则没加判断条件，导致 HTTPS 请求进来也继续跳，形成死循环。
必须配合 RewriteCond 判断协议状态
正确做法是只对非 HTTPS 请求做跳转。需确保 mod_rewrite 已启用，并在对应虚拟主机或目录上下文中添加：
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]
-
RewriteCond %{HTTPS} off是核心，它只在当前连接未使用 TLS 时触发后续规则 - 不要用
%{SERVER_PORT}判断（如!=443），因为反向代理或负载均衡后端可能让端口失真 - 如果站点部署在 CDN 或 Nginx 后面，
%{HTTPS}可能仍为off，此时要依赖X-Forwarded-Proto头，需额外配置：RewriteCond %{HTTP:X-Forwarded-Proto} !https
推荐在 SSL 虚拟主机里用 Redirect 替代重写
如果已配置了独立的 :80 和 :443 虚拟主机（标准做法），更简洁安全的方式是在 80 端口的 <virtualhost></virtualhost> 块中直接用 Redirect：
<VirtualHost *:80>
ServerName example.com
Redirect permanent / https://example.com/
</VirtualHost>
- 比
RewriteRule开销更低，无正则解析，Apache 内部直接处理 - 避免因
.htaccess层级覆盖或继承问题导致跳转失效 - 注意：必须确保
ServerName与目标域名一致，否则跳转 URL 中的%{HTTP_HOST}不可控
跳转后 CSS/JS 加载失败？检查混合内容
跳转成功不代表页面完全安全。浏览器控制台若报 Mixed Content 错误，说明 HTML 中仍有 http:// 的资源链接。这不是 Apache 配置问题，但常被误认为跳转没生效：
- 前端代码里的硬编码 URL（如
<script src="http://cdn.example.com/app.js"></script>）必须改为https://或协议相对路径（//cdn.example.com/app.js） - PHP 中用
$_SERVER['HTTPS'] === 'on'判断生成 URL，而不是固定拼http:// - WordPress 等 CMS 需在后台设置「WordPress 地址（URL）」和「站点地址（URL）」均为
https://，否则管理后台仍走 HTTP
