如何配置ThinkPHP实现全站HTTPS强制跳转及路由安全策略？

本文共计1031个文字，预计阅读时间需要5分钟。

全站强制HTTPS，无需依赖Nginx/Apache，独立配置。否则，Request::isSsl()在PHP层可能失真。

常见错误是直接读 $_SERVER['HTTPS'] —— 转发场景下（如 CDN、反向代理）这个值常为 off 或空，但实际已是 HTTPS。必须结合 X-Forwarded-Proto 头判断。

• 在 app/middleware.php 中注册中间件：HttpsRedirect::class
• 中间件内用 $request->header('X-Forwarded-Proto') 优先判断， fallback 到 $request->isSsl()
• 只对非 GET 和 HEAD 请求谨慎跳转（避免 POST 提交后丢失数据）
• 跳转用 redirect()->to(...)->code(301)，不要用 header() 手动发，否则绕过框架响应生命周期

为什么不能只在路由定义里加 https 规则

ThinkPHP 的路由 https 参数（如 Route::get(...)->https()）只是声明“此路由仅接受 HTTPS 请求”，不触发跳转。访问 HTTP 地址时，它直接报错 404 或 400，而不是重定向 —— 用户看到的是白屏或错误页，不是预期的自动跳转。

这在 SEO 和用户体验上都是硬伤。而且该参数对分组路由、资源路由支持不一致，https() 在 Route::group() 内部调用时容易被忽略。

立即学习“PHP免费学习笔记（深入）”；

• https() 是协议校验，不是重定向开关
• 它不修改请求流程，也不影响响应头
• 开启后，HTTP 请求连路由匹配都进不去，调试时容易误判为路由未定义

如何兼容 CDN 和反向代理（Nginx / SLB）

云服务常见架构是「用户 → CDN → Nginx → PHP-FPM」，此时原始协议信息藏在 X-Forwarded-Proto 或 X-Forwarded-Scheme 头里。ThinkPHP 默认不信任这些头，需手动配置信任代理 IP 段，否则 $request->isSsl() 始终返回 false。

在 config/app.php 中补全：'trust_proxy' => ['127.0.0.1', '10.0.0.0/8', '172.16.0.0/12', '192.168.0.0/16']（按你实际代理 IP 范围调整）；同时确保 Nginx 转发时设置了 proxy_set_header X-Forwarded-Proto $scheme;。

• 漏配 trust_proxy 是 HTTPS 跳转失效最隐蔽的原因
• CDN 回源 IP 若不在信任列表中，X-Forwarded-Proto 会被直接丢弃
• 测试时用 curl -H "X-Forwarded-Proto: https" http://yoursite.com/api/test 可快速验证头是否生效

跳转时 URL 拼接容易出错的三个点

手动拼 https:// + 域名 + 路径看似简单，但漏掉端口、query、锚点就会导致跳转后丢参或 404。ThinkPHP 的 Url::build() 不适用于跳转构造，它生成的是相对路径或带域名的完整链接，但不感知当前请求协议。

正确做法是复用当前 Request 对象的组件，再替换 scheme：

$uri = $request->url(true); // true 表示含 query $scheme = 'https'; $host = $request->host(); $port = $request->port() == 443 ? '' : ':' . $request->port(); $redirectUrl = $scheme . '://' . $host . $port . $uri;

• 别硬写 https:// + $request->domain() —— domain() 可能带端口，重复拼接会出错
• 忽略 $request->root()，它返回的是入口文件路径（如 /index.php），和跳转无关
• 301 和 302 要区分：首次上线用 302 测试，确认无误后再切 301，避免浏览器缓存错误跳转

HTTPS 跳转本身不难，难的是在各种代理链路下稳定识别协议，并让重定向 URL 完整还原原始请求。漏掉任意一环，就可能出现跳转循环、参数丢失或部分页面不跳转的情况。