根本原因是Apache未在443端口启动SSL服务：修改HTTP端口后未同步更新httpd-ssl.conf中VirtualHost监听地址，或443端口被其他进程占用，导致浏览器发起的HTTPS请求无人响应，触发SSL握手失败。
为什么改了Apache端口，HTTPS就直接报SSL握手失败？
根本原因不是“端口改了就不安全”，而是HTTPS必须走443端口才能被客户端默认识别为TLS连接。XAMPP里你手动把Listen 80改成Listen 8080，但没同步改Listen 443或对应SSL虚拟主机的VirtualHost *:443监听地址，Apache压根没在443上启动SSL服务——浏览器发来的https://127.0.0.1请求根本没人接，自然触发握手超时或连接拒绝，表现为“SSL handshake failed”。
检查httpd-ssl.conf里VirtualHost监听端口是否匹配
打开XAMPP\apache\conf\extra\httpd-ssl.conf，重点看这一段：
<virtualhost>
DocumentRoot "D:/htdocs"
ServerName localhost
...
</virtualhost>
如果你把HTTP服务挪到了8080，但这里还写*:443，而系统443端口又被Skype、IIS或SQL Server Reporting Services占着，Apache启动时会静默失败（日志里可能只有一行[warn] Init: Name-based SSL virtual hosts only work for clients with TLS server name indication support (RFC 4366)），实际没绑定成功。
- 确认
netstat -ano | findstr :443输出里有没有httpd.exe的PID - 如果没结果，说明Apache根本没监听443——要么端口被占，要么配置里
*:8443之类非标端口，但浏览器没显式带端口号（如https://127.0.0.1:8443） - 不要盲目把
https://127.0.0.1:8443访问，且现代浏览器对非标HTTPS端口的证书验证更严格，容易触发ERR_SSL_VERSION_OR_CIPHER_MISMATCH
证书链和协议配置在多端口场景下更容易出错
哪怕443端口通了，XAMPP默认的httpd-ssl.conf里这些配置项在多端口共存时极易被忽略：
-
SSLCertificateFile路径是否指向真实存在的server.crt？XAMPP自带证书放在XAMPP\apache\conf\ssl.crt\server.crt，但很多人复制项目时只拷了代码，漏了证书目录 -
SSLCertificateKeyFile必须配对，且私钥不能有密码（XAMPP不支持交互式输密）；若用Let’s Encrypt证书，要确保fullchain.pem和privkey.pem路径正确，别把cert.pem当fullchain.pem用 -
SSLProtocol若写成all -SSLv2 -SSLv3，在Win10+新版OpenSSL下可能因禁用过严导致握手失败；建议明确写SSLProtocol TLSv1.2 TLSv1.3 - Windows防火墙默认会拦截443入站，即使Apache跑了，telnet
127.0.0.1 443也连不上——得手动放行httpd.exe或TCP 443端口
用OpenSSL快速验证到底是哪一环断了
别依赖浏览器报错，直接在CMD里跑这句：
openssl s_client -connect 127.0.0.1:443 -servername localhost -showcerts
看三处关键输出：
- 开头有没有
CONNECTED(00000003)？没有＝端口不通或Apache根本没监听 -
Certificate chain:下面是否至少有2个-----BEGIN CERTIFICATE-----块？只有1个＝证书链不全，浏览器无法信任 - 末尾
Verify return code:是不是0 (ok)？如果是20（unable to get local issuer certificate）或10（certificate has expired），问题就定位到证书本身
真正麻烦的是那种CONNECTED有了、证书链也全、返回码是0，但浏览器仍报错的情况——八成是系统时间偏差超过5分钟，或者Chrome/Edge启用了chrome://flags/#unsafely-treat-insecure-origin-as-secure这类实验性标志干扰了本地HTTPS判断。
