symfony 不处理 https 终端，需由 web 服务器（如 nginx、caddy）配置 tls 和转发头；symfony 仅依赖 x-forwarded-proto 等头判断安全请求，并须在 framework.yaml 中配置 trusted_proxies 和 trusted_headers 才能正确生成 https 链接。
Symfony 7 默认不处理 HTTPS 终端加密
Symfony 本身不负责 TLS/SSL 终端，HTTPS 配置完全交给 Web 服务器（Nginx/Apache）或反向代理（Caddy、Traefik）。框架只认 $_SERVER['HTTPS'] 或 X-Forwarded-Proto 这类信号来判断请求是否“应被视为 HTTPS”。强行在 Symfony 层做证书加载或 HTTPS 重定向，不仅无效，还会引发循环跳转或混合内容警告。
Web 服务器必须先正确设置 HTTPS 和转发头
常见错误是：本地开发用 symfony server:start 启动后访问 https://127.0.0.1:8000，结果报 SSL_ERROR_BAD_CERT_DOMAIN —— 因为该命令默认只提供 HTTP，且自签名证书未被浏览器信任。生产环境同理，若 Nginx 没配 proxy_set_header X-Forwarded-Proto $scheme;，Symfony 就会把所有请求当成 HTTP，导致生成的 URL 是 http:// 开头，API 返回的资源链接或 CSRF Token 都出错。
- Nginx 示例（关键两行不能少）：
location / {<br> proxy_pass http://127.0.0.1:8000;<br> proxy_set_header Host $host;<br> proxy_set_header X-Real-IP $remote_addr;<br> proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;<br> proxy_set_header X-Forwarded-Proto $scheme;<br>} - Apache 要启用
mod_proxy并加：RequestHeader set X-Forwarded-Proto "https" env=HTTPS - Caddy（dev 环境）：确保
Caddyfile.dev中有https://localhost或明确监听:443，且 Mercure Hub 日志显示HTTPS server started on https://localhost:443；否则退回到http://localhost:3000并同步改 Symfony 的MERCURE_PUBLISH_URL
Symfony 需信任转发头并启用“安全”模式
即使 Web 服务器传了 X-Forwarded-Proto，Symfony 默认也不信——它怕被伪造。必须显式配置信任代理 IP 和头字段，否则 $request->isSecure() 始终返回 false，url() 生成的链接也全是 http://。
- 在
config/packages/framework.yaml中添加：framework:<br> trusted_proxies: ['127.0.0.1', '172.16.0.0/12']<br> trusted_headers: ['x-forwarded-for', 'x-forwarded-proto', 'x-forwarded-port']
- 若用 Cloudflare 或其他 CDN，需把其 IP 段加入
trusted_proxies（查官方文档获取最新段） - 开发时若用
symfony server:start --cert，需配合--http2和浏览器手动信任证书；但更推荐用 Caddy 或 mkcert 生成本地可信证书，避免每次点“高级→继续前往”
强制 HTTPS 跳转必须由 Web 服务器完成
别在 Symfony Controller 或 Kernel 中写 if (!$request->isSecure()) { return $this->redirect('https://' . ...); } —— 这样跳转会丢失 POST 数据、触发 CORS 问题，且绕过 Web 服务器缓存。Nginx 强制跳转只需一个 server 块：
server {<br> listen 80;<br> server_name example.com;<br> return 301 https://$server_name$request_uri;<br>}
注意：$server_name 必须与证书域名一致；若用泛域名证书，确保 server_name 匹配，否则跳转后浏览器提示证书不匹配。
最易忽略的是：本地开发时，symfony server:start 不支持自动 HTTPS 重定向，而 Caddy 的 redir 规则又常被写错位置。最终效果不是“有没有 HTTPS”，而是“所有 URL 是否都带 https:// 前缀且不报证书警告”——这取决于证书来源、代理链长度、以及 Symfony 是否真信了那个 X-Forwarded-Proto 头。
