xampp 默认不启用 https，常见问题源于 mod_ssl 未真正启用、证书路径/格式错误或重定向规则缺失；需同时取消 httpd.conf 中 loadmodule ssl_module 和 include conf/extra/httpd-ssl.conf 的注释，用自带 openssl.exe 生成匹配的自签名证书，为项目单独配置 virtualhost *:443 并添加 rewriterule 强制跳转，最后将 server.crt 导入系统受信任根证书存储。
XAMPP 默认不启用 HTTPS，配了没反应、访问跳回控制面板、浏览器报“不安全”——基本都是 mod_ssl 没真正启用，或证书路径/格式错，或重定向规则漏了。
确认 mod_ssl 和 httpd-ssl.conf 都已启用
只取消 httpd.conf 里 LoadModule ssl_module modules/mod_ssl.so 的注释还不够。XAMPP 启动时不会报错，但 HTTPS 请求会被静默丢弃，最终跳转到 XAMPP 控制面板首页。
必须同时检查并取消以下两行的注释：
LoadModule ssl_module modules/mod_ssl.soInclude conf/extra/httpd-ssl.conf
改完后重启 Apache；如果仍无效，直接看 error.log（位于 XAMPP\apache\logs\error.log），搜索 SSL 或 443，常见提示如 no listening sockets available, shutting down 就是端口被占，SSLCertificateFile not found 则是路径错。
用 XAMPP 自带 openssl.exe 生成自签名证书
别装第三方 OpenSSL，也别用在线工具生成 PEM 不兼容的密钥——Apache 极其挑剔，私钥和证书不匹配会直接启动失败，报错：SSL Library Error: error:0B080074:x509 certificate routines:X509_check_private_key:key values mismatch。
在管理员权限 CMD 中执行：
cd XAMPP\apache\bin openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout ..\conf\ssl.key\server.key -out ..\conf\ssl.crt\server.crt
注意三点：
-
-nodes是必须的，否则 Apache 启动要输密码，无法自动运行 - 输出路径必须严格匹配
httpd-ssl.conf中的默认配置：SSLCertificateFile "conf/ssl.crt/server.crt"和SSLCertificateKeyFile "conf/ssl.key/server.key" -
Common Name填你实际访问的域名（如localhost或myproject.test），浏览器会校验这个字段
为本地项目单独配 VirtualHost *:443，别动默认块
直接修改 <virtualhost _default_:443></virtualhost> 容易和 XAMPP 自带的 HTTPS 页面（如 phpMyAdmin）冲突，导致部分页面打不开或证书警告反复出现。
稳妥做法是在 httpd-ssl.conf 文件末尾追加一个新虚拟主机：
<virtualhost>
ServerName myproject.test
DocumentRoot "D:/xampp/htdocs/myproject"
SSLEngine on
SSLCertificateFile "conf/ssl.crt/server.crt"
SSLCertificateKeyFile "conf/ssl.key/server.key"
</virtualhost>
同时别忘了在系统 hosts 文件里加一行：127.0.0.1 myproject.test。否则浏览器根本不会发请求到你的 Apache。
强制 HTTP 跳转 HTTPS：加 RewriteRule 还得开 mod_rewrite
只配好 443 端口 ≠ 强制 HTTPS。用户仍能通过 http://myproject.test 访问，且现代浏览器对混合内容越来越敏感。
先确认 httpd.conf 中这行已启用：LoadModule rewrite_module modules/mod_rewrite.so
然后在你刚配的 <virtualhost></virtualhost> 块内，或在对应项目的 .htaccess 里加：
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]
注意：RewriteCond %{HTTPS} off 必须写在 443 虚拟主机里才有效；写在 80 端口的配置里，会导致循环重定向。
最容易被忽略的是证书信任问题：自签名证书浏览器必然报“不安全”，必须手动把 server.crt 导入系统「受信任的根证书颁发机构」存储区，否则每次都要点“高级→继续前往”。这步不做，HTTPS 就只是“能通”，不是“可信”。
