PHP 8.2本身不处理HTTPS，成败取决于Web服务器配置：Apache需启用mod_ssl、SSLEngine on及SetEnvIf透传HTTPS状态；Nginx需显式设置fastcgi_param HTTPS on；本地开发必须用mkcert生成带SAN的可信证书，PHP内置服务器不支持HTTPS。
PHP 8.2 本身不处理 HTTPS，部署 HTTPS 的成败完全取决于 Web 服务器（Apache 或 Nginx）是否正确加载证书、完成 TLS 握手，并把加密状态可靠地透传给 PHP 进程。你改再多 php.ini 或升级到 PHP 8.2 都不会让 $_SERVER['HTTPS'] 变成 'on'——除非 Web 服务器配置到位。
Apache + PHP 8.2 启用 HTTPS 并让 $_SERVER 正确识别
关键不是 PHP 版本，而是 Apache 是否把协议状态“说清楚”了。
- 确认
mod_ssl已启用：apachectl -M | grep ssl必须输出ssl_module (shared) - 在
<virtualhost></virtualhost>块中必须包含：<VirtualHost *:443> SSLEngine on SSLCertificateFile /etc/letsencrypt/live/example.com/fullchain.pem SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem SSLCertificateChainFile /etc/letsencrypt/live/example.com/chain.pem <!-- 旧版 Let's Encrypt 需要，新版可省略 --> SetEnvIf X-Forwarded-Proto https HTTPS=on </VirtualHost> - 如果前端有 CDN 或 Nginx 反代，
$_SERVER['HTTPS']不可信，PHP 中应统一用：($_SERVER['HTTP_X_FORWARDED_PROTO'] ?? '') === 'https'或更健壮的判断逻辑 - 重启 Apache：
sudo systemctl restart apache2（Debian/Ubuntu）或sudo apachectl graceful
Nginx + PHP-FPM（PHP 8.2）下 fastcgi_param HTTPS=on 必须显式设置
Nginx 不像 Apache 那样自动注入 HTTPS 环境变量，漏掉这行，PHP 就永远“以为”自己跑在 HTTP 上。
- 在
location ~ \.php$块内，确保有：fastcgi_param HTTPS on; - 同时补全其他必要参数（否则
$_SERVER['SCRIPT_FILENAME']等会出错）：fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;fastcgi_param PATH_INFO $fastcgi_path_info; - 若使用 CDN 或负载均衡（如 Cloudflare），且它们把 HTTPS 请求转为 HTTP 发给 Nginx，则需配合
map指令还原协议：map $http_x_forwarded_proto $fastcgi_https { default ""; https "on"; }<br>fastcgi_param HTTPS $fastcgi_https; - 验证 PHP-FPM 是否使用的是 PHP 8.2：
ps aux | grep php-fpm查看进程调用路径，确保指向~/.phpenv/versions/8.2.20/sbin/php-fpm（若用 phpenv）或系统安装的 8.2 版本
本地开发配 HTTPS：mkcert 是唯一靠谱方案
别用 OpenSSL 手动生成证书——Chrome 会直接拦截，报 NET::ERR_CERT_INVALID，因为缺 subjectAltName。
立即学习“PHP免费学习笔记（深入）”；
- 运行
mkcert -install（一次，把根证书装进系统信任库） - 生成证书：
mkcert localhost 127.0.0.1 ::1→ 输出localhost+2.pem和localhost+2-key.pem - 私钥权限必须是
600：chmod 600 localhost+2-key.pem，否则 Apache/Nginx 启动失败，错误日志里提示key values mismatch - Apache 配置中
SSLCertificateFile必须指向.pem文件（不是.crt），且不能是自签但未信任的证书 - PHP 内置服务器（
php -S）**完全不支持 HTTPS**，强行加-t或openssl参数会报Unable to start TLS server
PHP 代码层适配：混合内容和协议判断最容易被忽略
即使 Web 服务器 HTTPS 配好了，PHP 代码里硬写 http:// 仍会导致浏览器拦截资源、表单提交失败、重定向跳回 HTTP。
- 生成 URL 时不要拼接协议：
错：$url = 'http://' . $_SERVER['HTTP_HOST'] . '/login';
对：$url = '//' . $_SERVER['HTTP_HOST'] . '/login';（协议相对）或用函数判断：$scheme = ($_SERVER['HTTPS'] ?? '') === 'on' || ($_SERVER['HTTP_X_FORWARDED_PROTO'] ?? '') === 'https' ? 'https' : 'http'; - 检查所有
header('Location: http://...')，必须动态构造协议 - 数据库中存储的链接（如 WordPress 的
siteurl）也要更新为https://，否则后台跳转、静态资源加载全崩 - 第三方 SDK（如微信 JS-SDK、支付宝回调）强制要求 HTTPS，但它们只校验请求头中的协议，不关心 PHP 版本——只要
$_SERVER传错了，就认证失败
Web 服务器配置证书只是第一步，真正容易出问题的是「状态透传」和「代码适配」这两环——前者决定 PHP 知不知道自己在 HTTPS 下运行，后者决定它会不会把用户又悄悄送回 HTTP。
