用户部署SSL证书后网站仍显示“不安全”，通常是由于HTTPS配置不完整或存在混合内容问题。下面是详细的排查步骤和解决方案：
一、常见原因及排查步骤
1. 检查混合内容（Mixed Content）
这是最常见的问题，即HTTPS页面中加载了HTTP资源。
排查方法：
- 按 F12打开浏览器开发者工具
- 查看 Console控制台中的错误信息
- 检查 Network 面板中哪些资源以`http://`开头加载
解决方案：
- 将页面中所有资源URL改为相对路径（`//example.com/resource`）或绝对HTTPS路径
- 使用内容安全策略（CSP）头来阻止混合内容：
nginx
add_header Content-Security-Policy "upgrade-insecure-requests";
2. 验证HTTPS重定向是否正确
确保所有HTTP请求都重定向到HTTPS。
检查方法：
bash
测试HTTP是否重定向
curl -I http://yourdomain.com
应返回 301 或 302 重定向到HTTPS
Nginx配置示例：
nginx
server {
listen 80;
server_name yourdomain.com;
return 301 https://$server_name$request_uri;
}
server {
listen 443 ssl;
server_name yourdomain.com;
ssl_certificate /path/to/cert.pem;
ssl_certificate_key /path/to/private.key;
...其他配置
}
3. 检查证书链完整性
证书链不完整会导致某些浏览器显示不安全。
验证命令：
bash
检查证书链
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com
修复方法：
确保服务器配置中包含完整的证书链（通常需要将CA中间证书和根证书合并）。
4. 检查HSTS配置
HTTP严格传输安全（HSTS）可以强制浏览器使用HTTPS。
配置示例（Nginx）：
nginx
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
5. 检查网站代码中的硬编码HTTP链接
排查点：
- HTML、CSS、JavaScript文件中的绝对HTTP链接
- 数据库中的硬编码HTTP链接
- 配置文件中的URL设置
6. 检查重定向循环
错误的重定向配置可能导致循环。
检测方法：
bash
使用curl跟随重定向
curl -L http://yourdomain.com -v
二、分步排查清单
步骤 检查项目 工具/命令
1 检测混合内容 浏览器F12开发者工具
2 验证HTTPS重定向 `curl -I http://yourdomain.com`
3 检查SSL证书有效性 `openssl s_client` 或 SSL Labs测试
4 验证证书链完整性 SSL Labs或浏览器证书查看器
5 检查HSTS头 `curl -I https://yourdomain.com`
6 扫描硬编码HTTP链接 代码搜索工具或文本编辑器
7 检查CDN/代理配置 确保CDN支持HTTPS并正确配置
三、快速解决方案脚本
自动化检测脚本：
bash
#!/bin/bash
DOMAIN="yourdomain.com"
echo "1. 检测混合内容..."
curl -s "https://$DOMAIN" | grep -Eo "(http://[^\"'>]+)" | sort -u
echo -e "\n2. 验证重定向..."
curl -I "http://$DOMAIN" | grep -E "(HTTP|Location)"
echo -e "\n3. 检查HSTS头..."
curl -I "https://$DOMAIN" | grep -i "strict-transport-security"
echo -e "\n4. SSL证书检查..."
echo | openssl s_client -connect "$DOMAIN:443" -servername "$DOMAIN" 2>/dev/null | openssl x509 -noout -dates
四、高级优化建议
1. 启用HTTP/2或HTTP/3：
nginx
listen 443 ssl http2;
2. 优化SSL配置：
nginx
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512;
ssl_prefer_server_ciphers off;
3. 使用安全Cookie：
php
session_set_cookie_params([
'secure' => true,
'httponly' => true,
'samesite' => 'Strict'
]);
五、在线检测工具
1. SSL Labs测试：https://www.ssllabs.com/ssltest/
2. Why No Padlock：https://www.whynopadlock.com/
3. Mixed Content Scan：https://github.com/bramus/mixed-content-scan
六、紧急处理方案
如果问题紧急，可以强制所有资源通过HTTPS加载：
Nginx配置：
nginx
强制所有子请求使用HTTPS
if ($scheme = http) {
return 301 https://$server_name$request_uri;
}
或者使用更激进的内容重写
sub_filter 'http://' 'https://';
sub_filter_once off;
通过以上步骤系统排查，通常可以解决HTTPS后仍显示"不安全"的问题。重点注意混合内容和重定向配置，这是最常见的原因。
