PHP项目本身不直接申请或管理SSL证书，真正起作用的是Web服务器（Nginx或Apache）；本地开发应使用mkcert生成可信自签名证书，生产环境推荐Let’s Encrypt + Certbot全自动部署，并严格配置443端口监听、证书路径、TLS协议及权限。
PHP项目本身不直接申请或管理SSL证书，真正起作用的是你所用的Web服务器（Nginx或Apache）。所谓“PHP源码搭建SSL”，本质是为运行PHP的Web服务配置HTTPS加密通道。只要证书正确部署、服务器支持TLS、PHP代码不硬编码HTTP链接，整个站点就能安全升级。
选对工具：Let’s Encrypt + Certbot最省心
生产环境强烈推荐Let’s Encrypt免费证书，配合Certbot实现全自动申请与续期。它不是PHP插件，而是系统级ACME客户端，能直接修改Nginx/Apache配置。
- Certbot会自动检测已有的虚拟主机，添加
ssl_certificate、ssl_certificate_key等指令，并启用443端口和TLS 1.2+ - 执行
sudo certbot --nginx -d yourdomain.com后，它还会帮你设置HTTP→HTTPS强制跳转（选“2: Redirect”即可） - 续期完全自动化：
/etc/cron.d/certbot已预置每日检查，sudo certbot renew --dry-run可提前验证是否就绪
Apache用户注意三个致命细节
很多Apache站点生成了证书却打不开HTTPS，问题往往不在证书本身，而在模块、协议或配置逻辑。
- 必须启用
mod_ssl：Ubuntu/Debian运行sudo a2enmod ssl && sudo systemctl restart apache2；CentOS/RHEL检查/etc/httpd/conf.modules.d/00-ssl.conf是否已加载 - 禁用老旧协议：在虚拟主机或
ssl.conf中加入SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1 - Certbot默认只改一个
<virtualhost></virtualhost>块，若配置分散在sites-enabled/多个文件中，需用--cert-name明确指定，或手动补全SSLCertificateChainFile路径
Nginx配置关键项不能漏
无论是用Certbot自动生成，还是手动编辑conf文件，以下四行是HTTPS生效的基础：
立即学习“PHP免费学习笔记（深入）”；
-
listen 443 ssl;—— 必须声明SSL监听，仅写listen 443无效 -
ssl_certificate /etc/letsencrypt/live/yourdomain.com/fullchain.pem;—— 用fullchain.pem而非cert.pem，否则部分浏览器会报链不完整 -
ssl_certificate_key /etc/letsencrypt/live/yourdomain.com/privkey.pem;—— 私钥权限必须为600且属主为root -
ssl_protocols TLSv1.2 TLSv1.3;—— 显式禁用TLS 1.0/1.1，避免安全警告
本地开发别用Let’s Encrypt，用mkcert更靠谱
phpEnv、phpStudy、XAMPP这类Windows本地环境不支持ACME协议，也无法通过HTTP验证域名所有权。此时应放弃Let’s Encrypt，改用mkcert生成本地可信证书。
- 管理员身份运行PowerShell，执行
choco install mkcert && mkcert -install - 生成证书：
mkcert shop.test→ 得到shop.test.pem和shop.test-key.pem - 证书路径务必用正斜杠：
ssl_certificate C:/phpenv/ssl/shop.test.pem;（反斜杠会被Nginx误解析） - 改完
shop.test.conf后，一定要点phpEnv界面上的【重载Nginx】，只重启PHP无用
