PHP本身不处理HTTPS，所有配置问题都出在Web服务器透传逻辑或PHP代码对协议的误判上；$_SERVER['HTTPS']为空、重定向跳HTTP、混合内容警告均非PHP bug，而是Apache未显式声明SetEnvIf、Nginx缺失fastcgi_param HTTPS on、或反向代理未透传X-Forwarded-Proto导致环境未对齐。
PHP本身不处理HTTPS，所有配置问题都出在Web服务器透传逻辑或PHP代码对协议的误判上。$_SERVER['HTTPS']为空、重定向跳HTTP、混合内容警告——这些都不是PHP bug，而是环境没对齐。
Apache中$_SERVER['HTTPS']始终为空怎么办
Apache不会自动把TLS状态塞进PHP环境变量，必须显式声明。漏掉SetEnvIf或证书链配置错误，PHP就永远收不到“当前是HTTPS”的信号。
- 先确认
mod_ssl已加载：apachectl -M | grep ssl应输出ssl_module (shared) - 在
<virtualhost></virtualhost>内必须包含三要素：SSLEngine on、SSLCertificateChainFile（不能省）、SetEnvIf X-Forwarded-Proto https HTTPS=on - 如果前端有CDN或Nginx反代，Apache实际走的是HTTP，此时
$_SERVER['HTTPS']天然为''，必须改用$_SERVER['HTTP_X_FORWARDED_PROTO'] ?? '' === 'https'判断
Nginx + PHP-FPM下HTTPS状态不生效
Nginx默认不传HTTPS环境变量，哪怕listen 443 ssl配得再全，PHP也感知不到加密层。这是最常被忽略的配置断点。
- 在
location ~ \.php$块里，必须显式写：fastcgi_param HTTPS on; - 若上游是CDN且把HTTPS转成HTTP发给Nginx，需配合
map指令还原协议：map $http_x_forwarded_proto $fastcgi_https { default off; https on; } fastcgi_param HTTPS $fastcgi_https; - 别依赖
$_SERVER['SERVER_PORT'] == 443判断——端口可能被代理隐藏，也可能被负载均衡复用
PHP代码里怎么安全判断当前协议
硬编码http://或只查$_SERVER['HTTPS']，会导致URL生成错、重定向循环、混合内容警告。真实生产环境必须做多层兜底。
立即学习“PHP免费学习笔记（深入）”；
- 优先检查：
isset($_SERVER['HTTPS']) && $_SERVER['HTTPS'] === 'on' - 再回退检查：
($_SERVER['HTTP_X_FORWARDED_PROTO'] ?? '') === 'https' - 最后 fallback 到端口（仅限直连无代理场景）：
$_SERVER['SERVER_PORT'] == 443 - 生成URL时，不要拼接字符串，用
$_SERVER['REQUEST_SCHEME'] ?? ($is_https ? 'https' : 'http')更稳
cURL调用HTTPS接口报SSL certificate problem
这不是你的代码错了，而是PHP的cURL找不到可信CA证书包。系统级证书路径缺失或过期，就会触发cURL error 60。
- 下载最新
cacert.pem：从https://curl.se/ca/cacert.pem保存到服务器某路径，如/etc/ssl/certs/cacert.pem - 在
php.ini中设置：curl.cainfo = "/etc/ssl/certs/cacert.pem"，然后重启PHP服务 - 临时调试可用代码级覆盖：
curl_setopt($ch, CURLOPT_CAINFO, '/path/to/cacert.pem');，但别关CURLOPT_SSL_VERIFYPEER - 自签名证书测试环境，务必用
curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, 0);和curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, false);，仅限本地
真正容易被忽略的是：当Nginx/Apache和PHP-FPM不在同一台机器时，fastcgi_param或SetEnvIf的透传会因网络中间件失效；而所有基于$_SERVER的判断，一旦漏掉X-Forwarded-Proto这一层，就等于在生产环境裸奔。
