thinkphp二级域名https异常核心在于ssl证书覆盖范围与nginx配置不匹配：单域名证书不支持多二级域，须用通配符或san证书；每个二级域需独立nginx server块并显式指定证书路径；必须透传x-forwarded-proto头并启用trustproxy中间件，同时关闭cdn重复跳转以避免循环。
ThinkPHP配置二级域名后HTTPS访问异常，核心问题不在框架本身，而在于SSL证书覆盖范围与Nginx重定向逻辑是否匹配二级域名的实际使用方式。常见表现为：浏览器提示“不安全”、跳转循环（ERR_TOO_MANY_REDIRECTS）、部分子站仍走HTTP、或Cookie无法携带导致登录失效。
确认SSL证书是否支持该二级域名
单域名证书仅保护一个明确的主机名（如 api.example.com），无法覆盖 admin.example.com 或 www.example.com。若你为 example.com 申请了单域名证书，却用 shop.example.com 访问，Nginx虽能加载证书，但浏览器会因域名不匹配拒绝建立安全连接。
- 检查证书实际绑定的域名：用 openssl x509 -in your.crt -text -noout | grep -A1 "Subject Alternative Name" 查看 SAN 列表
- 若需多个二级域名共存，必须使用通配符证书（*.example.com）或含多个 SAN 的多域名证书
- 宝塔面板申请时若显示“待域名确认”，说明DNS解析未生效或CAA记录拦截，需先确保二级域名已正确解析并响应HTTP访问
Nginx配置需按二级域名独立声明server块
不能复用主域名的 HTTPS 配置块来服务二级域名。每个二级域名应有自己完整的 listen 443 ssl 块，并指向对应证书路径——即使使用通配符证书，也必须显式指定 ssl_certificate 和 ssl_certificate_key。
- 避免在同一个 server 块中用 server_name api.example.com shop.example.com 混合配置，易引发 SNI 冲突或证书误用
- 每个二级域名的 HTTP 跳转块（listen 80）必须与 HTTPS 块的 server_name 完全一致，否则 return 301 会跳转到错误域名
- ThinkPHP 的 public 目录路径需按二级域名区分，例如 /var/www/api/public 和 /var/www/shop/public
ThinkPHP需识别代理透传的HTTPS协议
当二级域名经 CDN 或 Nginx 反向代理访问时，PHP 默认收不到 SSL 信息，$_SERVER['HTTPS'] 为空，导致 Request::isSsl() 返回 false，进而影响 Cookie secure 属性、URL 生成及中间件跳转逻辑。
- 在 Nginx 对应二级域名的 server 块中添加：proxy_set_header X-Forwarded-Proto $scheme;
- 在 ThinkPHP 的 config/app.php 中启用：'trust_proxy' => true 或明确列出可信代理 IP（如 ['127.0.0.1']）
- 检查 config/cookie.php 中 'secure' => true 是否开启，否则 HTTPS 下 Cookie 不会被浏览器发送
排查混合内容与跳转循环
二级域名启用 HTTPS 后，页面中任何 http:// 开头的资源（JS/CSS/图片/接口请求）都会被浏览器拦截，表现为白屏、功能异常；若 CDN 自动开启 HTTPS 跳转，又在 Nginx 里配置了 301，二者叠加即触发 ERR_TOO_MANY_REDIRECTS。
- 关闭 CDN 的“强制 HTTPS”开关，仅保留源站 Nginx 的 80→443 跳转
- 用浏览器开发者工具 → Network 标签页，筛选 Protocol 列，找出仍为 http/1.1 的请求
- 检查模板、数据库字段、配置文件中的硬编码链接，统一替换为协议相对路径（//cdn.example.com/js/app.js）或 https:// 显式前缀
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
