运维中怎样强制SSL访问

在运维中，“强制 SSL 访问”通常指所有 HTTP 请求自动跳转/拒绝到 HTTPS，以保证通信加密。不同场景做法不同，下面按常见情况给你总结。

一、Web 服务器层强制 SSL（最常用）

1. Nginx 强制 HTTPS

server {
    listen 80;
    server_name example.com;
    return 301 https://$host$request_uri;
}

server {
    listen 443 ssl;
    server_name example.com;

    ssl_certificate     /path/to/cert.pem;
    ssl_certificate_key /path/to/key.pem;

    # 可选：禁止不安全协议
    ssl_protocols TLSv1.2 TLSv1.3;
}

2. Apache 强制 HTTPS

<VirtualHost *:80>
    ServerName example.com
    Redirect permanent / https://example.com/
</VirtualHost>

或通过 .htaccess：

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

二、应用层强制 SSL（代码级）

1. Spring Boot（Java）

server:
  ssl:
    enabled: true
  port: 443

并配合：

@Configuration
public class SecurityConfig {
    protected void configure(HttpSecurity http) throws Exception {
        http.requiresChannel()
            .anyRequest().requiresSecure();
    }
}

2. Tomcat

web.xml 中：

<security-constraint>
  <web-resource-collection>
    <url-pattern>/*</url-pattern>
  </web-resource-collection>
  <user-data-constraint>
    <transport-guarantee>CONFIDENTIAL</transport-guarantee>
  </user-data-constraint>
</security-constraint>

三、负载均衡 / 反向代理层

Nginx / SLB / CLB

• 在 LB 层做 80 → 443 重定向
• 后端可只走 HTTP（内网）
• 注意：X-Forwarded-Proto 要正确传递

四、HSTS（防止 SSL 被绕过）

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

⚠️ 启用前确保 HTTPS 完全可用，否则会“锁死”访问。

五、数据库 / 中间件强制 SSL

MySQL

ALTER USER 'user'@'%' REQUIRE SSL;

Redis

requirepass yourpass
tls-port 6379
port 0

六、运维检查清单 ✅

• [ ] 80 端口重定向到 443
• [ ] 证书有效且自动续期（Let’s Encrypt）
• [ ] 禁用 TLS 1.0 / 1.1
• [ ] HSTS（视情况）
• [ ] 内网通信是否也需要加密

如果你能告诉我：

• 用的是 Nginx / Apache / Tomcat / K8s / 云厂商
• 是 网站 / API / 数据库

我可以给你更精确的配置示例。