php 8.5 判断 https 需综合 $_server['https']、$_server['http_x_forwarded_proto'] 等字段，强制跳转应使用 header() + exit 并确保无输出，nginx 需显式透传 https 相关参数，且本地开发需绕过跳转避免无限重定向。
PHP 8.5 怎么判断当前是 HTTPS 协议
PHP 8.5 本身不改变 $_SERVER 的行为，判断 HTTPS 还是靠环境变量。但要注意：不是所有服务器都设 $_SERVER['HTTPS']，尤其反向代理（Nginx、CDN）后面时，它可能永远是空或 off，而真实请求已是 HTTPS。
安全做法是结合多个来源判断：
-
$_SERVER['HTTPS'] === 'on'（Apache 常见） -
$_SERVER['HTTP_X_FORWARDED_PROTO'] === 'https'（Nginx 或 CDN 转发时常用） -
$_SERVER['HTTP_X_FORWARDED_SSL'] === 'on'（部分老代理）
别只信一个字段，否则本地开发（HTTP）和线上（HTTPS+反代）行为会不一致。
PHP 8.5 强制跳转 HTTPS 的写法
最简可靠写法是用 header() + exit，但必须确保没输出任何内容（包括空格、BOM、echo），否则报 headers already sent 错误。
立即学习“PHP免费学习笔记（深入）”；
示例代码（放在入口文件最开头，比如 index.php 顶部）：
if (!isset($_SERVER['HTTPS']) || $_SERVER['HTTPS'] !== 'on') {
if (!isset($_SERVER['HTTP_X_FORWARDED_PROTO']) || $_SERVER['HTTP_X_FORWARDED_PROTO'] !== 'https') {
$redirect_url = 'https://' . $_SERVER['HTTP_HOST'] . $_SERVER['REQUEST_URI'];
header('Location: ' . $redirect_url, true, 301);
exit;
}
}注意三点：
- 用了
301状态码，告诉搜索引擎这是永久重定向（SEO 友好） - 拼接
$_SERVER['REQUEST_URI']而不是$_SERVER['PHP_SELF']，避免丢掉查询参数 - 两次判断分别覆盖直连和反代场景，缺一不可
为什么在 Nginx + PHP-FPM 下常跳不过去
因为 Nginx 默认不把 HTTPS 信息传给 PHP，$_SERVER['HTTPS'] 始终为空。必须在 Nginx 配置里显式透传：
location ~ \.php$ {
fastcgi_param HTTPS on;
fastcgi_param HTTP_X_FORWARDED_PROTO https;
# 其他原有 fastcgi_param ...
}如果用的是 Let’s Encrypt + Certbot 自动配置，它通常不会加这行，得手动补上。漏掉就等于 PHP 永远收不到“这是 HTTPS”的信号。
另外，有些云厂商（如腾讯云 CLB、阿里云 SLB）默认用 X-Forwarded-Proto，但大小写可能不统一，建议用 strtolower() 处理再比对，更稳妥：
$proto = isset($_SERVER['HTTP_X_FORWARDED_PROTO']) ? strtolower($_SERVER['HTTP_X_FORWARDED_PROTO']) : '';
if ($proto !== 'https') { ... }PHP 8.5 有没有新函数替代手写跳转
没有。http_response_code()、header()、$_SERVER 这些底层机制从 PHP 5 到 8.5 都没变。PHP 8.5 不提供“自动 HTTPS 重定向”这类 Web 层功能——那是 Web 服务器（Nginx/Apache）或中间件该干的事。
如果你用 Laravel、Symfony 等框架，它们有中间件封装，但底层仍是调 header()；纯 PHP 项目就得自己写，且必须早于任何输出执行。
最容易被忽略的一点：本地开发时，localhost 无法配有效 HTTPS，所以跳转逻辑要能识别开发环境（比如检查 $_SERVER['HTTP_HOST'] === 'localhost' 就跳过），否则调试时无限重定向。
