需在Nginx层强制HTTP跳转HTTPS以保障ThinkPHP应用安全：一、独立80端口server块用return 301；二、HTTPS server中用error_page 497；三、用if判断$scheme返回307保POST方法；四、rewrite跳转适配PATH_INFO路由；五、加HSTS头强化安全。
如果您已完成ThinkPHP应用的Nginx部署，但用户仍可通过HTTP访问接口或页面，导致敏感参数明文传输、CSRF防护失效或Referer校验异常，则需在Nginx层配置强制跳转至HTTPS。该跳转必须兼顾ThinkPHP的URL重写规则（如PATH_INFO模式）与HTTP方法完整性，避免POST请求被降级为GET。以下是实现该目标的多种可行方案：
一、在独立HTTP server块中使用return 301重定向
该方法通过监听80端口的专用server块执行无条件301跳转，语义明确、性能最优，且完全隔离HTTP与HTTPS配置，防止PATH_INFO丢失或rewrite冲突。
1、打开Nginx站点配置文件，通常位于/etc/nginx/sites-enabled/thinkphp.conf或/usr/local/nginx/conf/vhost/thinkphp.conf。
2、在文件开头新增一个仅监听80端口的server块，内容如下：
立即学习“PHP免费学习笔记（深入）”；
server {
listen 80;
server_name example.com www.example.com;
return 301 https://$server_name$request_uri;
}
3、确认原ThinkPHP的HTTPS server块中已启用SSL并正确配置root与location /规则，其中包含ThinkPHP标准的PATH_INFO支持写法：
location / {
if (!-e $request_filename) {
rewrite ^/(.*)$ /index.php/$1 last;
}
}
4、执行nginx -t验证语法，无报错后运行systemctl reload nginx生效。
二、使用error_page 497触发HTTPS重定向
该方法利用Nginx内置状态码497（The plain HTTP request was sent to HTTPS port），在HTTPS server块内捕获误发的HTTP请求并主动重定向，无需额外监听80端口，适用于端口受限或反向代理透传场景。
1、定位到监听443端口的server块，确保已配置ssl_certificate与ssl_certificate_key指令。
2、在server块首行下方插入以下指令：
error_page 497 =301 https://$host$request_uri;
3、检查该server块中未启用underscores_in_headers on，防止Host头注入风险。
4、保存配置，执行nginx -s reload重新加载。
三、在HTTPS server块中使用if判断$scheme并返回307
该方法专为保留原始HTTP方法设计，当ThinkPHP接口接收POST/PUT等非幂等请求时，使用307临时重定向可强制客户端重复提交相同方法与请求体，避免因301导致的POST→GET降级问题。
1、进入HTTPS server块内部，在listen 443 ssl;之后、首个location之前插入：
if ($scheme = http) {
return 307 https://$host$request_uri;
}
2、确保ThinkPHP的入口文件index.php所在目录对Nginx用户可读，且fastcgi_param SCRIPT_FILENAME指向绝对路径。
3、验证重定向行为：使用curl -X POST -d "name=test" http://example.com/api/user，确认响应头含Location: https://...且状态码为307。
4、执行nginx -t && systemctl reload nginx使变更生效。
四、兼容ThinkPHP路由的rewrite跳转（仅限PATH_INFO模式）
该方法适用于ThinkPHP启用URL_MODEL=2（PATH_INFO）且Nginx未启用try_files的旧版部署，通过rewrite指令在80端口server块中拼接完整URI路径，确保/admin/user/edit/1类路由不被截断。
1、在监听80端口的server块中，删除所有location配置，仅保留：
rewrite ^(.*)$ https://$host$1 permanent;
2、确认HTTPS server块中location /规则严格匹配ThinkPHP官方推荐写法：
location / {
try_files $uri $uri/ /index.php?$query_string;
}
3、若使用fastcgi_pass，需同步设置fastcgi_param HTTPS on;以供ThinkPHP识别安全上下文。
4、重启Nginx服务并测试多级嵌套路由的跳转完整性。
五、添加HSTS头部强化安全策略
该步骤在HTTPS server块中注入Strict-Transport-Security响应头， instruct浏览器后续所有请求自动升级为HTTPS，规避首次HTTP访问的中间人攻击风险，且不影响ThinkPHP的Session与Cookie安全属性。
1、在HTTPS server块的server_name指令下方添加：
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
2、确保ThinkPHP配置中'cookie_secure' => true与'cookie_httponly' => true已启用。
3、使用curl -I https://example.com验证响应头中存在Strict-Transport-Security字段。
4、执行nginx -s reload使HSTS策略即时生效。
