Bootstrap本身不处理HTTPS，需在Nginx、SpringBoot等部署层配置；改HTML链接无效，HTTPS由服务器监听443端口、提供有效证书并响应TLS握手决定。
Bootstrap 本身是前端 CSS 框架，不处理 HTTPS；真正需要配置 HTTPS 的是托管 Bootstrap 网站的后端服务或 Web 服务器（如 Nginx、Apache、SpringBoot、Node.js 等）。如果你看到“Bootstrap 网站没 HTTPS”，问题一定出在部署层，而不是 Bootstrap 代码里。
为什么改 Bootstrap HTML 文件加不了 HTTPS
很多人试图在 index.html 里把 http:// 链接改成 https://，以为这就启用了 HTTPS——这完全无效。HTTPS 是传输层协议，由 Web 服务器（或反向代理）控制，浏览器访问时是否走加密通道，取决于服务器是否监听 443 端口、是否提供有效证书、是否正确响应 TLS 握手请求。
- 只改 HTML 中的链接，只是让资源请求走 HTTPS 协议，但前提是服务器本身已启用 HTTPS；否则浏览器会直接报
NET::ERR_CONNECTION_REFUSED或连接超时 - 如果服务器只监听 80 端口且无证书，即使你写
https://yoursite.com，浏览器也连不上 - Bootstrap 的 CSS/JS 文件是否能加载，还受混合内容（Mixed Content）策略限制：HTTPS 页面里加载 HTTP 资源会被现代浏览器主动拦截
Nginx 配置 HTTPS 是最常见且推荐的方式
绝大多数静态 Bootstrap 网站都托管在 Nginx 上。你需要做三件事：获取证书、配置 Nginx 启用 443 端口、设置 HTTP 自动跳转。
- 证书来源：开发可用自签名（
openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout key.pem -out cert.pem），生产必须用可信 CA（如 Let’s Encrypt、阿里云免费证书） - Nginx 配置关键项必须包含：
listen 443 ssl、ssl_certificate、ssl_certificate_key、ssl_protocols TLSv1.2 TLSv1.3 - HTTP 跳转不能只靠前端 JS 或 meta 刷新，必须用 Nginx 的
return 301 https://$host$request_uri写在 80 server 块里 - 务必检查证书链完整性：Let’s Encrypt 的
fullchain.pem必须包含中间证书，否则 iOS 和部分 Java 客户端会验证失败
SpringBoot 托管 Bootstrap 静态页时的 HTTPS 配置要点
如果你把 Bootstrap 打包进 SpringBoot 的 static/ 目录，并用内嵌 Tomcat 直接对外提供服务，那 HTTPS 配置就在 application.yml 里，但容易漏掉几个关键点：
-
server.ssl.key-store路径必须是 classpath 下可读路径（如classpath:keystore.p12），不能写绝对路径（jar 包内无法访问） - 密钥库类型必须明确指定：
server.ssl.key-store-type: PKCS12（JDK 9+ 默认不支持 JKS，且 SpringBoot 3.x 已弃用 JKS） - 别名（
server.ssl.key-alias）必须和生成证书时-alias参数值完全一致，大小写敏感 - 仅配 HTTPS 不够：必须额外配置 Tomcat Connector 实现 HTTP → HTTPS 跳转，否则用户输
http://会直接失败 - 若前端有 AJAX 请求，注意 SpringBoot 默认不信任
X-Forwarded-Proto头——如果前面还套了 Nginx，需加server.forward-headers-strategy: framework
证书生效但浏览器仍报“不安全”的典型原因
证书已加载、Nginx/SpringBoot 启动无报错、curl -I https://yoursite.com 返回 200，但 Chrome 还显示红色警告？大概率是这几个地方出了问题：
- 域名不匹配：证书 SAN（Subject Alternative Name）里没包含你正在访问的域名（比如证书是
www.example.com，你却访问example.com或localhost） - 自签名证书未导入系统信任库：Chrome 使用操作系统根证书库（macOS 钥匙串 / Windows 证书管理器），仅浏览器导入不够；Firefox 自带独立证书库，需单独导入
- 证书过期或系统时间错误：检查服务器和本地电脑时间是否准确（误差超过 5 分钟会导致 TLS 握手失败）
- 重定向循环：Nginx 的
return 301 https://$host$request_uri和后端又做了跳转，形成 301→301 循环，浏览器最终放弃 - HTTP/2 启用但 ALPN 协商失败：某些旧版 OpenSSL 或 JDK 版本不兼容，可临时关掉
ssl_http2 off排查
真正卡住人的，从来不是“怎么配”，而是证书链是否完整、域名是否精确匹配、跳转逻辑是否闭环——这些细节不验证到 curl 和 openssl s_client 层，光看浏览器提示很容易误判。
