PHP网站安全传输关键在Web服务器配置SSL证书与TLS加密，而非PHP本身；需用Certbot获取Let’s Encrypt证书，Apache/Nginx正确绑定fullchain.pem和privkey.pem，设置301重定向并清理混合内容，PHP层适配secure Cookie及HTTPS判断逻辑。
PHP网站要真正实现安全传输，关键不在PHP本身，而在于Web服务器（Apache或Nginx）是否正确加载SSL证书并启用TLS加密通道。HTTPS不是“加个PHP函数就能开启”的功能，它是底层通信协议的升级，必须由服务器完成握手、加密、身份验证全过程。
获取并部署有效的SSL证书
生产环境强烈推荐使用Let’s Encrypt免费证书，它受所有主流浏览器信任，且支持自动续期。执行以下命令即可一键申请：
- certbot --nginx -d example.com -d www.example.com（Nginx环境）
- certbot --apache -d example.com -d www.example.com（Apache环境）
成功后证书默认存于/etc/letsencrypt/live/example.com/，包含fullchain.pem（证书链）和privkey.pem（私钥）。注意：私钥权限必须设为600（chmod 600 privkey.pem），否则服务器拒绝加载。
在Apache或Nginx中正确绑定证书
PHP不读取证书文件，Web服务器才是实际加载者。配置时务必核对路径格式与模块状态：
立即学习“PHP免费学习笔记（深入）”；
-
Apache：确认已启用mod_ssl（a2enmod ssl），在虚拟主机中写入：
<VirtualHost *:443><br> SSLEngine on<br> SSLCertificateFile /etc/letsencrypt/live/example.com/fullchain.pem<br> SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem<br></VirtualHost>
-
Nginx：在server块内添加：
listen 443 ssl;<br>ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;<br>ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;<br>ssl_protocols TLSv1.2 TLSv1.3;
重启服务前，先用apachectl configtest或nginx -t验证语法，避免配置错误导致服务中断。
强制全站HTTPS与避免混合内容
仅开启443端口不够，用户仍可能通过HTTP访问。必须设置301重定向，并清理前端资源中的http链接：
-
Apache：在主配置或.htaccess中加入：
RewriteEngine On<br>RewriteCond %{HTTPS} off<br>RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L] -
Nginx：新增一个80端口server块：
server {<br> listen 80;<br> server_name example.com;<br> return 301 https://$server_name$request_uri;<br>} - 检查网页源码，将所有http://开头的CSS、JS、图片链接改为https://或协议相对路径（//example.com/style.css）；CMS类站点还需更新数据库中存储的绝对URL。
PHP代码需适配的安全细节
虽然PHP无需参与证书加载，但部分逻辑依赖协议判断，尤其涉及Cookie、跳转或API调用时：
- 设置安全Cookie：在session_start()前或setcookie()中显式指定secure=true和httponly=true
- 判断当前是否HTTPS：优先用$_SERVER['HTTPS'] === 'on'，若使用CDN或反向代理，需配合$_SERVER['HTTP_X_FORWARDED_PROTO'] === 'https'
- PHP发起的HTTPS请求（如cURL或file_get_contents）失败？检查php.ini中是否启用了openssl扩展，并设置了curl.cainfo指向系统CA证书路径（如/etc/ssl/certs/ca-certificates.crt）
