Revel 应用不支持 HTTPS 终止，应通过 Nginx 等反向代理处理 TLS；需配置 X-Forwarded-Proto、启用 redirect.secure，并避免硬编码 ListenAndServeTLS。
Revel 应用本身不直接支持 HTTPS 终止
Revel 的 Run() 或 revel.Run() 启动方式默认只监听 HTTP（如 :8089），它没有内置 TLS 配置项，也不推荐在 Revel 层做证书加载和 HTTPS 终止。强行用 http.ListenAndServeTLS 替换底层 listener 会绕过 Revel 的中间件链、日志、panic 捕获等机制，导致监控失效、静态资源路径异常、revel.AppConfig.String("mode") 判定失准等问题。
必须通过反向代理（如 Nginx）做 HTTPS 终止
生产环境的标准做法是：让 Revel 应用只跑在 127.0.0.1:8089（或任意本地非特权端口），由 Nginx 在前端统一处理 443 端口的 HTTPS 请求，并转发到该端口。这样既能复用 Nginx 的证书管理、OCSP stapling、HTTP/2、HSTS 等能力，又能保持 Revel 的轻量和可测试性。
- Nginx 配置中需设置
proxy_set_header X-Forwarded-Proto https;，否则 Revel 的req.TLS始终为 nil，revel.Request.IsSecure()返回 false - 若使用 Let’s Encrypt，建议用
certbot --nginx自动生成配置，避免手动写错ssl_certificate和ssl_certificate_key路径 - Revel 的
app.conf中应设results.redirect.secure = true，确保Redirect("/login")等自动补全为 https 协议
本地开发时想快速验证 HTTPS？用 Nginx 容器最稳
不要在代码里硬编码 ListenAndServeTLS，尤其别把私钥塞进 Git。更可靠的做法是用 Docker 启一个最小化 Nginx 实例，挂载自签名证书和 Revel 的本地服务：
docker run -d --name nginx-https \ -p 443:443 \ -v $(pwd)/certs:/etc/nginx/certs:ro \ -v $(pwd)/nginx.conf:/etc/nginx/nginx.conf:ro \ -v 127.0.0.1:8089:8089 \ nginx
其中 nginx.conf 必须包含 proxy_pass http://127.0.0.1:8089; 和正确的 SSL 指令。自签名证书可用 openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -days 365 -nodes 生成，浏览器首次访问会提示不安全，但能验证协议流转是否正常。
如果硬要在 Revel 进程内启用 HTTPS（仅限极简测试）
仅用于单机 demo 或 CI 环境中的临时验证，且必须确保：证书文件路径正确、私钥无密码、端口未被占用。示例代码片段如下：
func main() {
revel.Init("prod", "app", ".")
revel.Server.Addr = ":443"
revel.Server.TLSConfig = &tls.Config{
MinVersion: tls.VersionTLS12,
}
log.Fatal(revel.Server.ListenAndServeTLS("cert.pem", "key.pem"))
}
注意：revel.Server 是 *http.Server，所以可直接赋值 TLSConfig；但一旦这么写，你就失去了 Nginx 提供的请求头标准化（如 X-Real-IP）、连接队列控制、超时分级等关键能力——上线前务必切回反向代理模式。
最容易被忽略的是：Revel 的 Static.Serve 中间件依赖 req.URL.Path 解析文件路径，而某些 TLS 终止配置错误会导致 path 被截断或重复编码，表现为 CSS/JS 404 但 HTML 正常。遇到这类问题，先检查 Nginx 的 proxy_pass 末尾是否多写了斜杠。
