当前位置：首页 > 云服务器 > 正文

PHP如何部署SSL证书？Nginx/Apache配置指南

PHP部署SSL证书实战指南：从配置到优化

核心上文小编总结：PHP项目实现HTTPS加密的关键在于正确配置服务器SSL证书，并通过PHP环境确保全站资源安全加载，同时结合自动化工具提升运维效率。

安全基石：SSL/TLS协议加密数据传输，防止中间人攻破，保护用户敏感信息（登录凭证、支付数据）。
信任标识：浏览器地址栏显示锁形图标与HTTPS前缀,显著提升用户信任度与品牌形象。
SEO必备：HTTPS是百度等搜索引擎的排名因子,未部署SSL证书的网站将处于竞争劣势。
证书选型：
- 域名验证(DV)：基础加密，快速签发（西西云平台提供免费DV证书自动申请）。
- 组织验证(OV)：显示企业信息,增强可信度。
- 扩展验证(EV)：绿色地址栏，最高等级信任（适用于金融、电商）。

生成CSR (证书签名请求)：
openssl req -new -newkey rsa:2048 -nodes -keyout mysite.key -out mysite.csr
填写准确的域名与组织信息（西西云虚拟主机用户可在控制面板一键生成CSR）。
提交审核：
向CA机构（或西西云证书服务）提交CSR，完成域名所有权验证（DNS解析或文件验证）。
安装证书文件：
- Nginx配置示例 (/etc/nginx/conf.d/ssl.conf)： server { listen 443 ssl; server_name www.yoursite.com; ssl_certificate /path/to/fullchain.pem; # 包含证书链 ssl_certificate_key /path/to/private.key; ssl_protocols TLSv1.2 TLSv1.3; # 禁用不安全协议 # 其他优化参数... }
- Apache配置示例 (httpd-ssl.conf)： <VirtualHost *:443> ServerName www.yoursite.com SSLEngine on SSLCertificateFile /path/to/certificate.crt SSLCertificateKeyFile /path/to/private.key SSLCertificateChainFile /path/to/chain.crt # 中间证书链 </VirtualHost>
强制HTTPS跳转：
- Nginx重定向： server { listen 80; server_name www.yoursite.com; return 301 https://$host$request_uri; }
- Apache重定向 (.htaccess)： RewriteEngine On RewriteCond %{HTTPS} off RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

解决混合内容警告：
- 确保网页内所有资源（图片、CSS、JS）使用https://链接。
- 使用内容安全策略(CSP) 头强制HTTPS加载： header("Content-Security-Policy: upgrade-insecure-requests");
PHP cURL请求适配：
若PHP代码通过cURL调用外部API，需显式设置SSL验证选项（生产环境务必开启验证）：
$ch = curl_init(); curl_setopt($ch, CURLOPT_URL, "https://api.example.com"); curl_setopt($ch, CURLOPT_RETURNTRANSFER, true); curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, true); // 必须验证 curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, 2); // 严格检查主机名 curl_setopt($ch, CURLOPT_CAINFO, '/path/to/cacert.pem'); // 指定CA包 $response = curl_exec($ch);
会话(Session)安全：
在php.ini中启用安全Cookie,防止会话截持：
session.cookie_secure = 1 ; 仅通过HTTPS传输 session.cookie_httponly = 1 ; 阻止JavaScript访问

证书到期监控：西西云平台主动监测证书有效期，提前30天邮件/SMS告警,避免服务中断。
自动化续签：集成Let’s Encrypt证书，通过预置脚本实现90天自动续签（需服务器开放80/443端口验证）。
OCSP装订(Stapling)：在Nginx/Apache启用OCSP装订，减少客户端验证延迟，提升HTTPS握手速度： ssl_stapling on; ssl_stapling_verify on; resolver 8.8.8.8 valid=300s;

证书链不完整：
- 现象：浏览器提示”不受信任的连接”。
- 解决：使用在线工具（如SSL Labs测试）检查证书链,将中间证书合并到服务器配置文件中。
私钥不匹配：
- 现象：Nginx/Apache启动失败，日志报错SSL_CTX_use_PrivateKey。
- 验证命令：openssl x509 -noout -modulus -in certificate.crt | openssl md5 与 openssl rsa -noout -modulus -in private.key | openssl md5 输出需一致。

启用HSTS：强制浏览器只通过HTTPS访问（减少301跳转延迟）： add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload";
选择强加密套件：禁用已淘汰算法（如RC4, SHA1），优先使用ECDHE密钥交换： ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256...';