thinkphp全站https需通过nginx配置实现：先验证ssl证书匹配并确保nginx启用http_ssl_module；再配置80端口301跳转至https；443端口server块中加载证书、指向public目录、适配pathinfo重写；禁止敏感路径访问，启用tlsv1.2+与hsts；最后nginx -t校验并重载生效。
如果您已获取SSL证书，但ThinkPHP站点仍通过HTTP访问，说明Nginx未正确加载证书或未启用HTTPS监听。以下是实现Nginx下ThinkPHP全站HTTPS的具体配置步骤：
一、准备并验证SSL证书文件
确保您已从权威CA（如Let’s Encrypt、阿里云、腾讯云）获取完整的证书链文件，通常包括域名证书（.crt或.pem）和私钥（.key），部分服务商还提供中间证书（.ca-bundle）。证书文件必须可被Nginx进程读取，且权限不宜过宽（建议644），路径需为绝对路径。
1、将证书文件上传至Nginx配置可访问目录，例如 /usr/local/nginx/conf/cert/yourdomain.com.crt 和 /usr/local/nginx/conf/cert/yourdomain.com.key。
2、执行命令验证证书与私钥匹配：openssl x509 -noout -modulus -in yourdomain.com.crt | openssl md5 与 openssl rsa -noout -modulus -in yourdomain.com.key | openssl md5 输出应完全一致。
3、检查Nginx是否已编译支持SSL模块：运行 nginx -V 2>&1 | grep -o with-http_ssl_module，若无输出则需重新编译Nginx并添加 --with-http_ssl_module 参数。
二、配置Nginx HTTP强制跳转至HTTPS
在80端口server块中设置301重定向，确保所有HTTP请求无条件跳转到对应HTTPS地址，避免混合内容及SEO权重分散。该规则应在HTTPS server块之前定义，且不依赖PHP执行，具备最高优先级与可靠性。
1、在Nginx主配置文件（如 /usr/local/nginx/conf/nginx.conf 或站点独立配置文件）中添加以下server块：
2、listen 80; 指令明确绑定HTTP端口。
3、server_name 必须与HTTPS块中一致，支持多域名时用空格分隔，例如 server_name example.com www.example.com;。
4、使用 return 301 https://$host$request_uri; 实现无损重定向，保留原始URI路径与查询参数。
三、配置Nginx HTTPS服务块并适配ThinkPHP
此server块监听443端口，加载SSL证书，并正确处理ThinkPHP的URL重写与PATHINFO路由。需特别注意root路径指向ThinkPHP的public目录，且重写规则兼容框架入口机制，防止暴露敏感目录。
1、添加新的server块，设置 listen 443 ssl http2;（http2可选，提升性能）。
2、配置SSL证书路径：ssl_certificate /usr/local/nginx/conf/cert/yourdomain.com.crt; 与 ssl_certificate_key /usr/local/nginx/conf/cert/yourdomain.com.key;。
3、指定网站根目录为ThinkPHP的public子目录：root /var/www/yourproject/public;，严禁设为项目根目录（含app、config等敏感文件）。
4、启用PATHINFO支持的location块：location ~ \.php($|/) { 内部需包含 fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name; 及标准fastcgi_params引用。
5、添加ThinkPHP推荐的重写规则，确保非静态资源请求均交由index.php处理：if (!-e $request_filename) { rewrite ^/(.*)$ /index.php/$1 last; }。
四、禁止敏感路径Web访问并加固SSL协议
防止攻击者通过URL直接访问ThinkPHP框架内部目录（如app、config、runtime）或敏感文件（如.env、.git），同时限制老旧不安全的SSL/TLS协议版本与加密套件，降低中间人攻击风险。
1、在HTTPS server块内添加以下location规则，拒绝访问核心敏感目录：location ~ ^/(app|config|database|extend|runtime|vendor)/ { deny all; }。
2、禁止访问隐藏文件与配置文件：location ~ /\.env|\.git|\.log|\.ht { deny all; }。
3、配置TLS协议版本为TLSv1.2及以上：ssl_protocols TLSv1.2 TLSv1.3;。
4、指定强加密套件，禁用弱算法：ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;。
5、启用HSTS头增强安全性（可选但推荐）：add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;。
五、验证配置并重载Nginx服务
语法校验与服务重载是上线前关键步骤。错误的Nginx配置可能导致服务中断，因此必须逐项确认无误后方可应用变更。浏览器访问测试需涵盖HTTP自动跳转、HTTPS页面加载、静态资源响应及ThinkPHP路由功能。
1、执行 nginx -t 检查配置文件语法是否正确，输出应为 syntax is ok 与 test is successful。
2、若使用systemd管理服务，运行 systemctl reload nginx；若为传统init脚本，则执行 /usr/local/nginx/sbin/nginx -s reload。
3、使用curl命令验证跳转行为：curl -I http://yourdomain.com 应返回 HTTP/1.1 301 Moved Permanently 及 Location: https://... 头。
4、访问 https://yourdomain.com，检查浏览器地址栏是否显示锁形图标，开发者工具Console中无Mixed Content警告，且ThinkPHP路由（如 /index/index）可正常响应。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
