为什么PHP环境下开启了HTTPS依然提示不安全_排查全站资源加载与SSL协议版本-php教程-PHP中文网

https提示不安全的核心原因不是php，而是混合内容（http资源）或tls协议过旧（低于1.2），php仅接收web服务器解密后的请求，不参与ssl/tls握手。

为什么php环境下开启了https依然提示不安全_排查全站资源加载与ssl协议版本

PHP环境开了HTTPS但浏览器仍提示“不安全”？核心原因不是PHP，而是全站资源没走HTTPS或TLS版本太老

浏览器显示“不安全”，99% 和 PHP 本身无关。PHP 不处理 HTTPS 握手，它只接收 Web 服务器（Nginx/Apache）解密后的请求。真正触发警告的，是页面里某处加载了 HTTP 资源，或者服务器用的 TLS 协议低于 1.2。

常见错误现象包括：

地址栏显示“https://”，但左上角有灰色三角形或“不安全”文字
控制台报 Mixed Content: The page at 'https://...' was loaded over HTTPS, but requested an insecure resource 'http://...'
访问时直接跳转到空白页或 ERR_SSL_OBSOLETE 错误

检查所有 HTML/CSS/JS 中硬编码的 HTTP 协议

混合内容（Mixed Content）是最高频原因。哪怕只有一张 <img src="http://cdn.example.com/logo.png?x-oss-process=image/resize,p_40">，整页都会被标记为不安全。

实操建议：

打开浏览器开发者工具 → Network 标签页 → 刷新页面 → 在 Filter 输入框中输入 http://，立刻定位所有未升级的请求
全局搜索项目源码：http://、src="http:、url(http:、@import http:
特别盯紧：<script></script>、<link rel="stylesheet">、<iframe></iframe>、CSS 中的 background-image、字体 @font-face 声明
第三方统计、客服 SDK、广告代码常自带 HTTP 链接，需手动替换为协议相对路径（//cdn.example.com/xxx.js）或显式 https://

Nginx/Apache 是否启用了 TLS 1.2+ 并禁用了老旧协议？

ERR_SSL_OBSOLETE 这类错误，基本等于服务器还在用 TLS 1.0 或 SSL 3.0。主流浏览器（Chrome 120+、Edge 120+、Firefox 115+）已彻底弃用它们。

验证方式：

SSL Certificate Monitor

检查一个或多个域名的 SSL/TLS 证书到期时间、颁发者、协议及 SAN 信息，用于应要求检查证书、监控到期或验证 HTTPS 等场景。

下载

在终端运行：openssl s_client -connect yoursite.com:443 -tls1_1（应失败）；openssl s_client -connect yoursite.com:443 -tls1_2（应成功并显示证书）
用在线工具如 SSL Labs Test 扫描域名，看 “Handshake Simulation” 是否对现代浏览器显示 “Yes”

Nginx 典型安全配置片段（必须放在 server 块内）：

ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;
ssl_prefer_server_ciphers off;

Apache 对应配置：

SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1
SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384

$_SERVER['HTTPS'] 为空？别怪 PHP，先查 Web 服务器有没有传

很多 PHP 逻辑依赖 $_SERVER['HTTPS'] === 'on' 来判断是否走 HTTPS，但这个变量完全由 Web 服务器注入。如果 Nginx 没配 fastcgi_param HTTPS on;，或者 Apache 没启用 SSLEngine on，那它就永远为空。

关键点：

Nginx：必须在 location ~ \.php$ 或 fastcgi_pass 区块中加 fastcgi_param HTTPS on;
Apache：虚拟主机里要包含 SSLEngine on，且确保 mod_ssl 已启用
反向代理场景（如 CDN/WAF 后面）：不能只看 $_SERVER['HTTPS']，得结合 $_SERVER['HTTP_X_FORWARDED_PROTO'] === 'https'，但务必校验 $_SERVER['HTTP_X_FORWARDED_FOR'] 来源可信（比如限定内网 IP）
PHP-FPM 池配置里若写了 env[HTTPS] = off，会覆盖 Web 服务器设置，删掉或改成 env[HTTPS] = on