PHP 8.4 本身不处理 HTTPS，SSL/TLS 必须由 Web 服务器（如 Nginx/Apache）或反向代理配置；PHP 仅接收已解密的 HTTP 请求，需通过 fastcgi_param HTTPS on 等设置正确传递协议信息。
PHP 8.4 本身不直接处理 HTTPS 或 SSL 证书——它是个脚本语言运行时，不是 Web 服务器。要让 PHP 应用支持 HTTPS，你必须在 Web 服务器（如 Nginx、Apache）或反向代理（如 Caddy、Traefik）上配置 SSL/TLS，PHP 只需正常接收已解密的 HTTP 请求即可。
为什么 PHP 8.4 不需要“配置 SSL 证书”
常见误解是以为升级到 PHP 8.4 就能“开启 HTTPS”，其实：
-
php -S内置服务器（php -S localhost:8000）完全不支持 HTTPS，无论 PHP 版本，8.4 依然如此； - PHP 的
openssl扩展用于加密/签名/验证等逻辑（如openssl_verify()），但不参与 HTTP 层的 TLS 握手； - HTTPS 终止点（TLS termination）发生在 Web 服务器或负载均衡器，PHP 收到的是明文
http://请求（即使用户访问的是https://）。
Nginx + PHP-FPM 下启用 HTTPS 的关键配置项
假设你已获取证书（如 fullchain.pem 和 privkey.pem），Nginx 配置需包含以下核心块：
server {
listen 443 ssl http2;
server_name example.com;
ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
# 推荐启用现代 TLS 设置
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;
# PHP-FPM 透传（关键：确保 $_SERVER['HTTPS'] 正确）
location ~ \.php$ {
fastcgi_param HTTPS on; # ← 这行让 PHP 知道请求来自 HTTPS
fastcgi_param HTTP_X_FORWARDED_PROTO https;
include fastcgi.conf;
fastcgi_pass unix:/var/run/php/php8.4-fpm.sock;
}}
注意：fastcgi_param HTTPS on 是 PHP 判断协议的关键——否则 $_SERVER['HTTPS'] 为空，Laravel、Symfony 等框架可能生成 http:// 链接。
PHP 应用中检测 HTTPS 的正确方式
不要依赖 $_SERVER['SERVER_PORT'] === '443' 或 $_SERVER['REQUEST_SCHEME'] === 'https'（不可靠，易被伪造）。可靠写法是：
function is_https(): bool
{
if (isset($_SERVER['HTTPS']) && $_SERVER['HTTPS'] === 'on') {
return true;
}
if (isset($_SERVER['HTTP_X_FORWARDED_PROTO']) && $_SERVER['HTT
P_X_FORWARDED_PROTO'] === 'https') {
return true;
}
return false;
}如果你用的是 Cloudflare、AWS ALB 等代理，HTTP_X_FORWARDED_PROTO 更可信，但务必在 Web 服务器层校验该头是否来自可信源（例如 Nginx 中用 set_real_ip_from + real_ip_header）。
Let’s Encrypt 自动续期与 PHP 无关，但影响你的服务可用性
证书过期不会报错给 PHP，只会导致浏览器显示“连接不安全”。你需要：
P_X_FORWARDED_PROTO'] === 'https') {
return true;
}
return false;
}- 确认
certbot续期命令能成功执行（如certbot renew --dry-run）； - 续期后必须重载 Web 服务器（
nginx -s reload或systemctl reload nginx），否则新证书不生效； - PHP-FPM 不需要重启——它不读取证书文件。
最容易被忽略的一点：很多 Docker 部署把证书挂载进容器，但没配置自动重载机制，证书更新后 Nginx 仍在用旧内存缓存，导致 HTTPS 突然失效却查不到日志报错。
