Certbot自动配置Nginx SSL证书是最稳妥路径，避免手动配置路径或开关；需根据环境选对验证方式（--standalone、--webroot或--nginx），严格使用fullchain.pem和privkey.pem，确保权限、路径正确及无HTTP混合内容。
直接用 certbot 配置是最稳妥的路径，别自己手配证书路径或改 Apache/Nginx 的 SSL 模块开关——90% 的失败都卡在这一步。
certbot 申请时选错验证方式会卡住
如果你的 PHP 项目跑在本地开发环境（比如 phpStudy、XAMPP）或内网服务器，certbot --nginx 或 certbot --apache 会直接报错，因为它们依赖 Web 服务监听 80/443 端口并能响应 Let's Encrypt 的 HTTP 挑战。此时必须换验证方式：
- 用
certbot certonly --standalone -d example.com：它会临时起一个独立服务监听 80 端口，适合无 Web 服务或端口被占的情况 - 用
certbot certonly --webroot -w /path/to/webroot -d example.com：要求你能把验证文件写入网站根目录，适合已运行的 PHP 项目（如/www或/htdocs） - 避免用
--manual，除非你真要手动放文件+改 DNS，对 PHP 独立环境纯属增加出错概率
Apache 在 phpStudy/XAMPP 中启用 SSL 的关键三步
很多用户以为装完证书就完事了，结果浏览器仍提示“不安全”，实际是 Apache 根本没真正加载 SSL 模块或配置指向错误路径：
- 确认
httpd.conf中这两行已取消注释：LoadModule ssl_module modules/mod_ssl.so和Include conf/extra/httpd-ssl.conf - 把证书三件套（
fullchain.pem、privkey.pem、中间证书，如果有的话）统一放进conf/ssl/目录（不是默认的conf/ssl.crt），路径越短越不容易写错 - 在
httpd-ssl.conf的<VirtualHost *:443>块里，严格使用绝对路径：SSLCertificateFile "C:/phpStudy/Apache/conf/ssl/fullchain.pem"和SSLCertificateKeyFile "C:/phpStudy/Apache/conf/ssl/privkey.pem"；Windows 下路径必须用双引号，斜杠用正斜杠或双反斜杠
Nginx 配置 HTTPS 后仍显示“不安全”的真实原因
不是证书无效，而是 Nginx 没把证书链发全——Let's Encrypt 的 fullchain.pem 必须同时包含站点证书和中间证书，只用 cert.pem 就会断链：
立即学习“PHP免费学习笔记（深入）”；
-
ssl_certificate必须指向/etc/letsencrypt/live/example.com/fullchain.pem（不是cert.pem） -
ssl_certificate_key指向/etc/letsencrypt/live/example.com/privkey.pem - 删掉所有
ssl_trusted_certificate或ssl_client_certificate这类冗余指令，它们在单向 HTTPS 场景下无用且易引发冲突 - 测试命令别只跑
nginx -t，加一句openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | grep "Verify return code"，返回 0 才算链完整
最常被忽略的是证书权限和混合内容：私钥文件（privkey.pem）在 Linux 上必须是 600 权限，Windows 则要注意路径中不能有中文或空格；而 PHP 页面里写的 http:// 资源链接（比如 JS、CSS、图片），哪怕服务器开了 HTTPS，浏览器也会直接屏蔽并显示“不安全”——得通读 HTML 源码或用开发者工具的 Console 标签页抓出具体哪一行。
