Yii应用无法自动跳转HTTPS，主因是Web服务器层重定向未配置或被代理干扰：Apache需在.htaccess用RewriteCond %{HTTPS} off跳转，Nginx需监听80端口return 301；反代场景须依赖X-Forwarded-Proto并确保CDN/ALB透传该头。
Yii 应用无法自动跳转 HTTPS，大概率不是框架本身的问题，而是 HTTP 层重定向没配对，或者 Yii 的请求协议判断被代理/负载均衡器干扰了。
Apache 下用 .htaccess 强制跳转 HTTPS（最常用且可靠）
这是最直接、不依赖 Yii 逻辑的方案，适合绝大多数部署场景。关键点在于：重定向必须在 Web 服务器层面完成，而不是等请求进到 PHP 才处理。
- 确保
mod_rewrite已启用，且站点配置允许.htaccess覆盖（AllowOverride All） - 在项目 Web 根目录（如
web/或htdocs/）下创建或编辑.htaccess文件 - 写入以下规则（注意：必须放在其他重写规则之前）：
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
如果应用跑在 AWS ALB / Nginx 反向代理后，%{HTTPS} 可能始终为 off——此时要改用 %{HTTP_X_FORWARDED_PROTO} 判断：
RewriteCond %{HTTP_X_FORWARDED_PROTO} !https
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
Nginx 配置中监听 80 端口并 301 跳转
Nginx 不读 .htaccess，所有逻辑必须写在 server 块里。常见错误是只配了 443 端口的 HTTPS 服务，却忘了 80 端口的跳转入口。
- 在对应站点的
server配置中，单独定义一个监听 80 端口的块 - 不要在里面写 root、index 或 fastcgi_pass —— 只做跳转即可
- 使用
return 301（比 rewrite 更快、更安全）
server {
listen 80;
server_name example.com;
return 301 https://$server_name$request_uri;
}
若用了 CDN 或代理，且 $scheme 不可靠，可配合 map 指令从 $http_x_forwarded_proto 提取协议，再用于跳转判断。
Yii 2 中避免生成 HTTP 链接（UrlManager 配置）
即使 HTTP 请求已跳转 HTTPS，Yii 自动拼出的链接（如 Html::a()、Url::to()）仍可能带 http://，尤其在 CLI 或队列任务中调用时。这不是跳转失败，而是链接生成逻辑没对齐。
- 在
config/web.php的components['urlManager']中，显式设置hostInfo：
'urlManager' => [
'class' => 'yii\web\UrlManager',
'hostInfo' => 'https://example.com',
// ... 其他配置
],
注意：hostInfo 是硬编码值，上线前需按环境区分；若用 Docker 或多租户部署，建议通过环境变量注入，例如 getenv('APP_URL')。
- 不要依赖
$_SERVER['HTTPS']或Yii::$app->request->isSecureConnection动态生成hostInfo——它们在非 Web 上下文（如 console）中不可靠
Yii 1.1 的特殊处理（老项目常见坑）
Yii 1.1 没有内置的 isSecureConnection 安全判断，且默认 URL 生成完全依赖 CHttpRequest::getBaseUrl() 和 scriptUrl，容易在反代后误判协议。
- 在
index.php开头手动修正$_SERVER：
if (isset($_SERVER['HTTP_X_FORWARDED_PROTO']) && $_SERVER['HTTP_X_FORWARDED_PROTO'] === 'https') {
$_SERVER['HTTPS'] = 'on';
}
- 在
main.php配置中，强制设置baseUrl：
'components'=>array(
'request'=>array(
'baseUrl'=>'https://example.com',
),
),
否则 CController::createUrl() 会继续输出 http 链接，表单提交、AJAX 请求都可能降级到非加密通道。
真实环境中最容易被忽略的是：CDN 或 ALB 默认不转发 X-Forwarded-Proto，或者转发了但没在 Web 服务器层信任该 header。这意味着你写了十遍重定向规则，只要这一层没打通，%{HTTPS} 就永远是 off。
