HTTPS提示不安全的核心原因不是PHP，而是混合内容（HTTP资源）或TLS协议过旧（低于1.2），PHP仅接收Web服务器解密后的请求，不参与SSL/TLS握手。
PHP环境开了HTTPS但浏览器仍提示“不安全”？核心原因不是PHP，而是全站资源没走HTTPS或TLS版本太老
浏览器显示“不安全”，99% 和 PHP 本身无关。PHP 不处理 HTTPS 握手，它只接收 Web 服务器（Nginx/Apache）解密后的请求。真正触发警告的，是页面里某处加载了 HTTP 资源，或者服务器用的 TLS 协议低于 1.2。常见错误现象包括：
- 地址栏显示“https://”，但左上角有灰色三角形或“不安全”文字
- 控制台报
Mixed Content: The page at 'https://...' was loaded over HTTPS, but requested an insecure resource 'http://...' - 访问时直接跳转到空白页或 ERR_SSL_OBSOLETE 错误
检查所有 HTML/CSS/JS 中硬编码的 HTTP 协议
混合内容（Mixed Content）是最高频原因。哪怕只有一张<img src="http://cdn.example.com/logo.png">，整页都会被标记为不安全。
实操建议：
- 打开浏览器开发者工具 → Network 标签页 → 刷新页面 → 在 Filter 输入框中输入
http://，立刻定位所有未升级的请求 - 全局搜索项目源码：
http://、src="http:、url(http:、@import http: - 特别盯紧：
<script>、<link rel="stylesheet">、<iframe>、CSS 中的background-image、字体@font-face声明 - 第三方统计、客服 SDK、广告代码常自带 HTTP 链接，需手动替换为协议相对路径（
//cdn.example.com/xxx.js）或显式https://
Nginx/Apache 是否启用了 TLS 1.2+ 并禁用了老旧协议？
ERR_SSL_OBSOLETE 这类错误，基本等于服务器还在用 TLS 1.0 或 SSL 3.0。主流浏览器（Chrome 120+、Edge 120+、Firefox 115+）已彻底弃用它们。
验证方式：
- 在终端运行：
openssl s_client -connect yoursite.com:443 -tls1_1（应失败）；openssl s_client -connect yoursite.com:443 -tls1_2（应成功并显示证书） - 用在线工具如 SSL Labs Test 扫描域名，看 “Handshake Simulation” 是否对现代浏览器显示 “Yes”
Nginx 典型安全配置片段（必须放在 server 块内）：
立即学习“PHP免费学习笔记（深入）”；
ssl_protocols TLSv1.2 TLSv1.3; ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384; ssl_prefer_server_ciphers off;
Apache 对应配置：
SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1 SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384
$_SERVER['HTTPS'] 为空？别怪 PHP，先查 Web 服务器有没有传
很多 PHP 逻辑依赖$_SERVER['HTTPS'] === 'on' 来判断是否走 HTTPS，但这个变量完全由 Web 服务器注入。如果 Nginx 没配 fastcgi_param HTTPS on;，或者 Apache 没启用 SSLEngine on，那它就永远为空。
关键点：
- Nginx：必须在
location ~ \.php$或 fastcgi_pass 区块中加fastcgi_param HTTPS on; - Apache：虚拟主机里要包含
SSLEngine on，且确保mod_ssl已启用 - 反向代理场景（如 CDN/WAF 后面）：不能只看
$_SERVER['HTTPS']，得结合$_SERVER['HTTP_X_FORWARDED_PROTO'] === 'https'，但务必校验$_SERVER['HTTP_X_FORWARDED_FOR']来源可信（比如限定内网 IP） - PHP-FPM 池配置里若写了
env[HTTPS] = off，会覆盖 Web 服务器设置，删掉或改成env[HTTPS] = on
