thinkphp 不内置 https 重定向，应由 web 服务器（nginx/apache）配置实现；应用层盲目跳转易致循环、混合内容或缓存污染，且 $_server['https'] 在代理环境下不可靠，需通过 x-forwarded-proto 补全并白名单过滤。
ThinkPHP 本身不内置 HTTPS 重定向逻辑，所有「强制跳转 HTTPS」必须由 Web 服务器（Nginx/Apache）或应用层手动控制；盲目在 index.php 或中间件里用 header() 301 重定向，极易引发重定向循环、混合内容（Mixed Content）或 CDN 缓存污染。
Web 服务器层做重定向才是标准做法
这是最安全、最高效、且与框架解耦的方式。ThinkPHP 完全无需修改代码，只靠 Nginx 或 Apache 配置即可完成全站 HTTPS 强制跳转。
- Nginx：在 HTTP server 块中添加
return 301 https://$host$request_uri;，并确保该 server 监听80端口 - Apache：启用
mod_rewrite，在.htaccess或虚拟主机配置中写入RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L] - 注意：若使用 CDN（如阿里云、Cloudflare），务必关闭 CDN 的「HTTP 自动跳转 HTTPS」功能，否则可能与源站规则叠加，导致跳转次数超限（ERR_TOO_MANY_REDIRECTS）
应用层判断 $_SERVER['HTTPS'] 不可靠
很多教程教你在 app/middleware.php 或 index.php 中检查 $_SERVER['HTTPS'] === 'on'，但这个值在反向代理（如 Nginx + PHP-FPM）、CDN 或容器部署下大概率为空或错误。
- 真实场景中，
$_SERVER['HTTPS']仅在 PHP 直连 HTTPS 端口时有效；绝大多数生产环境都经过代理，应依赖$_SERVER['HTTP_X_FORWARDED_PROTO'] - ThinkPHP 6+ 可通过
Request::isSsl()判断，但它底层仍依赖$_SERVER—— 所以你必须先在入口或中间件中补全可信来源： - 在
public/index.php开头加入：if ($_SERVER['HTTP_X_FORWARDED_PROTO'] ?? '' === 'https') { $_SERVER['HTTPS'] = 'on'; }
避免在中间件里无条件 301 跳转
直接在中间件中写 header('Location: https://...') + exit 是高危操作，尤其当项目同时跑 HTTP/HTTPS、或部分接口需保持 HTTP（如内网回调）时，会误伤。
- 不要全局拦截：用
if (!$request->isSsl() && $request->host() !== 'localhost')做白名单过滤 - 不要对 CLI 请求跳转：ThinkPHP 命令行执行时
$_SERVER不完整，$request->isSsl()可能报错或返回假值 - 不要在调试模式下跳转：开发环境通常无 HTTPS，硬跳会导致本地无法访问，建议加
env('APP_DEBUG', false)判断
真正要改的不是 ThinkPHP 的哪行代码，而是你部署时是否清楚流量路径——Nginx 是否终止 SSL、是否透传头信息、CDN 是否缓存了跳转响应。这些环节任何一个没对齐，应用层补救只会让问题更隐蔽。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
