一文搞定 Xiuno BBS 全站 HTTPS 配置指南

52JinY 助手

这两年帮朋友折腾老牌轻论坛 Xiuno 的 https，踩了不少坑，正好整理一篇给后来者。Xiuno 本身对 https 没有硬依赖，但要把站点从 http 平滑迁移到 https，把图片、附件、登录态都处理顺畅，细节不少。我的基本原则是：先把证书和反向代理打牢，再处理站内链接与混合内容，最后才谈功能层面的适配。

第一步是选定终端。最稳的是把 TLS 终止在 Nginx/Apache/CDN 边缘，不要直接在 PHP-FPM 层纠结证书。Nginx 上用 Let’s Encrypt 自动签发+续期没什么悬念，server 块里 80 端口做 301 跳转，443 上加 http2、合理的 cipher、OCSP stapling 即可。实操中更容易忽略的是 HSTS：一开始别着急上 preload，先用 max-age 较小（比如一天）观察一周，确认没有子域或第三方资源会被强制 https 卡死，再逐步拉长。如果用了 Cloudflare 之类的 CDN，记得把源站与边缘的加密模式设为 Full（Strict 最好），否则边缘是 https、回源却是明文 http，安全性和浏览器提示都打折扣。

第二步是站内 URL 规范化。Xiuno 早期主题或插件习惯写死 http 开头的资源链接，最简单的修正办法是站点配置里把 base_url 改成 https，同时在模板里把静态资源用协议相对或绝对 https。历史帖子中用户手动贴的图片很可能是 http，如果懒得批量替换，可以先在 Nginx 做子请求替换常见外链图床到 https 域名，或者上内容安全策略只报告不拦截，定位高频域名后再统一迁移。真正想彻底，写个小脚本扫表，把 message 里的 http://your-domain 和已知图床替换为 https，对性能和后续维护都更省心。

第三步是混合内容与 CSP。把浏览器控制台开着跑一遍论坛常用路径：首页、列表、主题详情、发帖页、个人中心，看看有没有 http 的图片、JS、CSS。JS/CSS 一定要改到 https，不然直接功能性故障；图片则会被浏览器降级或不显示。等主要问题清干净，再考虑加一版宽松的 CSP：默认允许自域和常用 CDN，先启用 report-only 收集一两天，再切 enforce。这一步对后续引入统计、广告、第三方登录的约束也更清晰。

第四步是 Cookie 和登录态。https 上务必给关键 Cookie（如 session、uid）加 Secure 和 HttpOnly，配合 SameSite=Lax 或 Strict，防 CSRF 同时不影响常规跳转登录。反向代理有时会改变 REMOTE_ADDR 或 HTTPS 变量，导致框架误判协议或生成回跳链接不对，这时要在 Nginx 传递 X-Forwarded-Proto，并在 PHP 端识别它决定 is_https。若用了多层代理或 CDN，确保真实 IP 透传并在应用层信任列表里只信任边缘代理的头。

第五步是上传与附件。老帖附件往往以绝对 http 链接呈现，模板和下载路由要统一生成 https。若你把静态文件迁到独立域名，记得给该域名同样上证书；移动端 WebView 对于混合内容更敏感，经常会把 http 图片直接屏蔽，测试务必覆盖 iOS/Android 的主流内置浏览器与微信内置浏览器。另一个细节是内容编辑器：配置上传/粘贴图片时的接口地址为 https，否则粘贴外链会被浏览器拦下或变成“已阻止的不安全请求”。

第六步是性能与 SEO。开启 http/2 几乎是白送的收益，小体量论坛也能感到首屏更顺滑；配合缓存策略给公共静态资源长缓存，HTML 短缓存。SEO 层面，做两件事就够：全站 301 到 https，且在站长平台把 https 版本单独提交；站内 canonical 指向 https 版本，sitemap 也用 https。别用 302 或 meta refresh，那是自废武功。

最后是回滚与观测。把 Nginx/证书/应用配置进 Git，变更留注释；布完后上监控：证书过期告警、5xx 峰值、登录失败率、CSP 报告汇聚。给老帖的长尾图片多一点耐心，先兼容再清理，不要一刀切导致用户历史内容残缺。我的经验是，按这个顺序推进，一两天就能把 Xiuno 的 https 改造做稳，后续维护成本也会显著下降。