Laravel中TLS不足需强制HTTPS跳转、补全证书链并禁用TLS 1.0/1.1：检查TrustProxies配置、APP_URL前缀、curl证书校验及TLS版本约束，使用SSL Labs和openssl验证链完整性与协议支持。
在PHP框架审计中识别HTTPS强制跳转缺失、证书链不完整或TLS版本过低，是防止中间人攻击和数据泄露的关键动作。
检查是否启用HTTPS强制跳转
打开框架的路由配置或中间件注册文件，定位到全局请求处理逻辑。
在Laravel中查看 app/Http/Middleware/TrustProxies.php，确认 $proxies 设置为 '*' 或明确列出负载均衡器IP；若留空或为 null，则X-Forwarded-Proto头将被忽略，导致 url() 生成HTTP链接。
搜索项目中是否调用 \URL::forceScheme('https') 或设置 APP_URL=https://example.com；【未设置APP_URL为https前缀时，生成的asset路径、重定向Location头仍会是http】。
立即学习“PHP免费学习笔记（深入）”；
运行 curl -I http://your-app.com/login，观察响应头中是否有 Location: https://...；没有则说明缺少301跳转逻辑。
验证证书链完整性与协议支持
方法一：使用在线工具检测
访问 SSL Labs SSL Test，输入域名并提交扫描。重点查看“Certification Paths”是否显示“Chain issues: None”，以及“Protocol Details”中TLS 1.3是否启用、TLS 1.0是否禁用。
方法二：本地命令行快速验证
执行 openssl s_client -connect your-app.com:443 -servername your-app.com 2>/dev/null | openssl x509 -noout -text，检查输出中 CA Issuers URI是否可访问，且证书 Issuer 与 Subject 不一致（自签名证书会一致，必须排除）。
方法三：检查Web服务器配置
若部署在Nginx，打开站点配置文件，确认存在 ssl_trusted_certificate 指令并指向包含根证书和中间证书的PEM文件；【仅配置 ssl_certificate 而未配 ssl_trusted_certificate 时，移动端和部分Java客户端会因证书链不全而报错】。
审计PHP层TLS上下文配置
第一步：定位cURL相关调用
全局搜索 curl_setopt、new \CurlHandle 或 GuzzleHttp\Client 实例化位置。
第二步：检查是否显式禁用证书校验
确认代码中不存在 curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, false) 或等效的 'verify' => false 配置；该设置会使HTTPS退化为HTTP级安全，【一旦出现即判定为高危缺陷】。
第三步：验证TLS版本约束
对于cURL，检查是否设置 CURLOPT_SSLVERSION 为 CURL_SSLVERSION_TLSv1_2 或更高；对Stream Context，检查 stream_context_create(['ssl' => ['crypto_method' => STREAM_CRYPTO_METHOD_TLSv1_2_CLIENT]]) 是否生效。
