直接用 RewriteRule 会失败是因为未加 RewriteCond 判断 HTTPS 状态，导致 HTTPS 请求也被重定向，引发循环；正确做法是仅对 %{HTTPS} off 时跳转，或在 :80 虚拟主机中用 Redirect。
为什么直接用 RewriteRule 会失败？
很多人在 .htaccess 或虚拟主机配置里写：RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]，却发现跳转不生效，甚至出现重定向循环。根本原因是：Apache 默认不会在 HTTP 请求中识别 HTTPS 状态，%{HTTPS} 变量在非 SSL 虚拟主机里始终是 off，但更关键的是——这个规则没加判断条件，导致 HTTPS 请求进来也继续跳，形成死循环。
必须配合 RewriteCond 判断协议状态
正确做法是只对非 HTTPS 请求做跳转。需确保 mod_rewrite 已启用，并在对应虚拟主机或目录上下文中添加：
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]
-
RewriteCond %{HTTPS} off是核心，它只在当前连接未使用 TLS 时触发后续规则 - 不要用
%{SERVER_PORT}判断（如!=443），因为反向代理或负载均衡后端可能让端口失真 - 如果站点部署在 CDN 或 Nginx 后面，
%{HTTPS}可能仍为off，此时要依赖X-Forwarded-Proto头，需额外配置：RewriteCond %{HTTP:X-Forwarded-Proto} !https
推荐在 SSL 虚拟主机里用 Redirect 替代重写
如果已配置了独立的 :80 和 :443 虚拟主机（标准做法），更简洁安全的方式是在 80 端口的 Redirect：
<virtualhost>
ServerName example.com
Redirect permanent / https://example.com/
</virtualhost>
- 比
RewriteRule开销更低，无正则解析，Apache 内部直接处理 - 避免因
.htaccess层级覆盖或继承问题导致跳转失效 - 注意：必须确保
ServerName与目标域名一致，否则跳转 URL 中的%{HTTP_HOST}不可控
跳转后 CSS/JS 加载失败？检查混合内容
跳转成功不代表页面完全安全。浏览器控制台若报 Mixed Content 错误，说明 HTML 中仍有 http:// 的资源链接。这不是 Apache 配置问题，但常被误认为跳转没生效：
- 前端代码里的硬编码 URL（如
<script src="http://cdn.example.com/app.js"></script>）必须改为https://或协议相对路径（//cdn.example.com/app.js） - PHP 中用
$_SERVER['HTTPS'] === 'on'判断生成 URL，而不是固定拼http:// - WordPress 等 CMS 需在后台设置「WordPress 地址（URL）」和「站点地址（URL）」均为
https://，否则管理后台仍走 HTTP
Apache 的 HTTPS 强制跳转本身很轻量，真正容易出问题的往往是跳转后的资源加载链路和部署环境的协议透传是否完整。
