HTML文件本身无法启用HTTPS，根本原因是页面通过HTTP协议加载；唯一有效解法是服务端配置TLS证书并设置带$request_uri的301重定向，而非修改HTML标签或使用CSP。
HTML 文件本身无法“启用 HTTPS”，浏览器提示“建议启用 HTTPS”或显示“不安全”，根本原因不是代码写得不对，而是页面正通过 http:// 协议被加载。解决这件事的唯一有效路径是服务端配置 TLS 证书 + 强制重定向，而不是在 <meta> 或 <script></script> 里做任何尝试。
为什么加 <meta http-equiv="Content-Security-Policy"> 没用
有人看到 CSP 支持 upgrade-insecure-requests 就以为能“强制升 HTTPS”。但它只影响资源加载（比如把 http://cdn.example.com/img.jpg 自动改成 https://），对当前页面协议毫无作用。浏览器仍判定为“非安全上下文”，navigator.geolocation、navigator.credentials 等 API 依然被禁用，表单提交照样被拦截。
更糟的是：如果用户已进入 HTTP 页面，敏感 API 可能已在跳转前就报错或拒绝调用，JS 跳转补救纯属事后诸葛亮。
- 该指令不能改变当前页面的
location.protocol - 它不解决地址栏“不安全”提示，也不影响搜索引擎索引
- 若页面本身含混合内容（HTTP 资源），CSP 会报错但不会自动修复
Nginx 中 return 301 必须带 $request_uri
常见错误是写成 return 301 https://$host/;，结果所有带参数的 URL 全被截断。比如用户访问 http://example.com/login?next=/admin，会被重定向到 https://example.com/，丢失全部查询参数，导致登录后跳转失败。
从零开始创建惊艳、动画丰富且自包含的 HTML 演示文稿，或通过转换 PowerPoint 文件生成。当用户希望制作幻灯片、构建演示文稿、打造路演资料（pitch deck）、将 PPT/PPTX 转换为网页格式，或增强现有 HTML 演示文稿时，应使用此能力。该能力帮助用户通过视觉预览而非抽象选项来发掘自身审美偏好。
立即学习“前端免费学习笔记（深入）”；
- 必须用
$request_uri（保留原始路径 + 查询字符串），不能用$uri（不含?后内容） - 推荐用
$host而非$server_name，避免多域名绑定时跳转到固定域名 - 必须是
301（永久重定向），302会被浏览器缓存临时跳转，HTTPS 无法稳定生效
Let’s Encrypt 证书权限和路径陷阱
Certbot 默认生成的私钥文件 /etc/letsencrypt/live/example.com/privkey.pem 权限常为 644，但 Nginx 主进程读取时会报错：SSL_CTX_use_PrivateKey_file(...) failed (SSL: error:0200100D:system library:fopen:Permission denied)。
- 私钥必须设为
600：执行sudo chmod 600 /etc/letsencrypt/live/example.com/privkey.pem - 属主需为运行 Nginx 的用户（
www-data或nginx），否则 reload 失败 - 不要直接引用
/etc/letsencrypt/archive/下的硬链接目标——Certbot 续期后软链接会更新，Nginx 不感知，容易卡在旧证书 - 目录
/etc/letsencrypt/live/example.com/至少需755（Nginx 用户可进入）
CDN 或反向代理下容易漏掉的关键点
如果你用了 Cloudflare、阿里云 CDN 或 Nginx 反向代理，HTTP→HTTPS 重定向不能只靠后端服务器做。CDN 层可能缓存了 HTTP 响应，或者开启“自动重定向”功能，与你 Nginx 的 301 配置叠加，造成循环跳转（301 → 301 → ...）。
- 先关闭 CDN 的“自动 HTTP 重定向”开关
- 确保 CDN 回源协议设为 HTTPS（避免回源走 HTTP，让后端误判
$scheme） - 若后端应用（如 Laravel、Django）依赖
X-Forwarded-Proto判断协议，必须在 Nginx 的 proxy_pass 块中显式添加：proxy_set_header X-Forwarded-Proto $scheme;
最易被忽略的其实是本地开发环境：localhost 不受 HTTPS 限制，但一旦部署到测试子域名（如 staging.example.com），哪怕只是临时验证，也必须走真实证书+重定向，否则浏览器行为会和生产环境不一致，问题拖到上线才暴露。
