最稳方式是在全局中间件中通过X-Forwarded-Proto头判断并301跳转，需配置trust_proxy、正确拼接URL，避免仅依赖路由https()或$_SERVER['HTTPS']。
ThinkPHP 6 如何在中间件中判断并跳转 HTTPS
全站强制 HTTPS 不该靠 Nginx/Apache 单独做，否则 Request::isSsl() 在 PHP 层可能失真，路由层也收不到真实协议信息。最稳的方式是在全局中间件里拦截并重定向。
常见错误是直接读 $_SERVER['HTTPS'] —— 转发场景下（如 CDN、反向代理）这个值常为 off 或空，但实际已是 HTTPS。必须结合 X-Forwarded-Proto 头判断。
- 在
app/middleware.php中注册中间件：HttpsRedirect::class - 中间件内用
$request->header('X-Forwarded-Proto')优先判断， fallback 到$request->isSsl() - 只对非
GET和HEAD请求谨慎跳转（避免 POST 提交后丢失数据） - 跳转用
redirect()->to(...)->code(301)，不要用header()手动发，否则绕过框架响应生命周期
为什么不能只在路由定义里加 https 规则
ThinkPHP 的路由 https 参数（如 Route::get(...)->https()）只是声明“此路由仅接受 HTTPS 请求”，不触发跳转。访问 HTTP 地址时，它直接报错 404 或 400，而不是重定向 —— 用户看到的是白屏或错误页，不是预期的自动跳转。
这在 SEO 和用户体验上都是硬伤。而且该参数对分组路由、资源路由支持不一致，https() 在 Route::group() 内部调用时容易被忽略。
立即学习“PHP免费学习笔记（深入）”；
开箱即用的技能链路由引擎。13 条预定义链覆盖搜索、开发、审查、MLOps、法律、创意等场景，三层路由架构（触发词→SAD反馈→DAG编排），recall@10=96.97%。配置驱动（chains.yaml），零代码扩展。pip install skill-weave-chains 一键安装。
-
https()是协议校验，不是重定向开关 - 它不修改请求流程，也不影响响应头
- 开启后，HTTP 请求连路由匹配都进不去，调试时容易误判为路由未定义
如何兼容 CDN 和反向代理（Nginx / SLB）
云服务常见架构是「用户 → CDN → Nginx → PHP-FPM」，此时原始协议信息藏在 X-Forwarded-Proto 或 X-Forwarded-Scheme 头里。ThinkPHP 默认不信任这些头，需手动配置信任代理 IP 段，否则 $request->isSsl() 始终返回 false。
在 config/app.php 中补全：'trust_proxy' => ['127.0.0.1', '10.0.0.0/8', '172.16.0.0/12', '192.168.0.0/16']（按你实际代理 IP 范围调整）；同时确保 Nginx 转发时设置了 proxy_set_header X-Forwarded-Proto $scheme;。
- 漏配
trust_proxy是 HTTPS 跳转失效最隐蔽的原因 - CDN 回源 IP 若不在信任列表中，
X-Forwarded-Proto会被直接丢弃 - 测试时用
curl -H "X-Forwarded-Proto: https" http://yoursite.com/api/test可快速验证头是否生效
跳转时 URL 拼接容易出错的三个点
手动拼 https:// + 域名 + 路径看似简单，但漏掉端口、query、锚点就会导致跳转后丢参或 404。ThinkPHP 的 Url::build() 不适用于跳转构造，它生成的是相对路径或带域名的完整链接，但不感知当前请求协议。
正确做法是复用当前 Request 对象的组件，再替换 scheme：
$uri = $request->url(true); // true 表示含 query $scheme = 'https'; $host = $request->host(); $port = $request->port() == 443 ? '' : ':' . $request->port(); $redirectUrl = $scheme . '://' . $host . $port . $uri;
- 别硬写
https://+$request->domain()——domain()可能带端口，重复拼接会出错 - 忽略
$request->root()，它返回的是入口文件路径（如/index.php），和跳转无关 - 301 和 302 要区分：首次上线用
302测试，确认无误后再切301，避免浏览器缓存错误跳转
HTTPS 跳转本身不难，难的是在各种代理链路下稳定识别协议，并让重定向 URL 完整还原原始请求。漏掉任意一环，就可能出现跳转循环、参数丢失或部分页面不跳转的情况。
