启用HTTPS加密后，如果不将HTTP流量自动重定向到HTTPS，用户仍可能通过未加密的HTTP访问网站，导致安全漏洞降级风险。以下分场景介绍强制跳转的配置方法，涵盖主流Web服务器、CDN及应用层设置。

一、Web服务器端配置

1. Nginx

在Nginx配置文件中（如/etc/nginx/conf.d/default.conf），为HTTP（80端口）的server块添加301重定向：

server {
    listen 80;
    server_name example.com www.example.com;
    return 301 https://$host$request_uri;
}

此规则会指示Nginx将任何HTTP请求永久重定向到相同URL的HTTPS版本。注意$host保留原始域名，$request_uri保留路径和查询参数。

2. Apache

在Apache的.htaccess文件或虚拟主机配置中加入以下规则：

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}/$1 [R=301,L]

确保Apache已启用mod_rewrite模块。

3. IIS（Windows Server）

打开IIS管理器，选择网站 → 双击“URL重写” → 添加规则“空白规则”：

• 名称：HTTP to HTTPS redirect
• 匹配URL：.*，条件：{HTTPS} 匹配 off
• 操作类型：重定向，重定向URL：https://{HTTP_HOST}{REQUEST_URI}，重定向类型：永久(301)

如果未安装URL重写模块，需通过Web平台安装程序安装。

二、CDN或反向代理层配置

许多CDN服务提供一键强制HTTPS跳转。以Cloudflare为例：在SSL/TLS → 边缘证书 → 启用Always Use HTTPS。阿里云CDN可在域名管理 → HTTPS配置中开启强制跳转（支持301或302）。此类配置优先于源服务器自身规则。

三、应用代码层

若无法控制服务器配置，可在应用入口处实现重定向。例如PHP：

if ($_SERVER['HTTPS'] !== 'on') {
    header('Location: https://' . $_SERVER['HTTP_HOST'] . $_SERVER['REQUEST_URI'], true, 301);
    exit;
}
?>

其他框架如Django、Express等均有类似中间件。注意：代码层应放置在页面输出之前，避免内容泄露。

四、HSTS增强策略

在HTTPS响应中添加Strict-Transport-Security头部，告知浏览器在指定时间内只能通过HTTPS访问。Nginx示例：

add_header Strict-Transport-Security 'max-age=31536000; includeSubDomains; preload' always;

启用HSTS需确保全站HTTPS已稳定，否则可能导致https://无法访问。

以上配置部署后，可用curl -I http://example.com检查响应状态码是否为301及Location头部是否指向https地址。建议先在测试环境验证，再应用到生产。