HTTPS （全称：Hyper Text Transfer Protocol over SecureSocket Layer），是以安全为目标的 HTTP 通道，在HTTP的基础上通过传输加密和身份认证保证了传输过程的安全性  。HTTPS 在HTTP 的基础下加入SSL，HTTPS 的安全基础是 SSL，因此加密的详细内容就需要 SSL。 HTTPS 存在不同于 HTTP 的默认端口及一个加密/身份验证层（在 HTTP与 TCP 之间）。这个系统提供了身份验证与加密通讯方法。它被广泛用于万维网上安全敏感的通讯，例如交易支付等方面。下面，本律师将验证可行的配置https访问协议方法分享如下，供您参考：        一、提前向腾讯云、阿里云或者华为云申请有效期为一年的免费SSL证书，后面要用到。        二、打开httpd.conf 文件，去掉下面两行代码前面#号LoadModule ssl_module modules/mod_ssl.soLoadModule socache_shmcb_module modules/mod_socache_shmcb.so        三、新建d:/apache/cert/，在cert目录下面放置你向腾讯云、阿里云或者华为云申请的SSL证书（一般为三个文件）。

        四、方法一：结合你的实际情况，在httpd.conf 文件末尾直接添加以下代码（不启用httpd-ssl.conf文件）：

<IfModule ssl_module> # 将httpd-ssl.conf中的关键命令代码及参数写入         SSLRandomSeed startup builtin         SSLRandomSeed connect builtin         SSLCipherSuite HIGH:MEDIUM:!MD5:!RC4:!3DES         SSLPassPhraseDialog  builtin         SSLSessionCacheTimeout  300         <FilesMatch "\.(cgi|shtml|phtml|php)$">         SSLOptions +StdEnvVars         </FilesMatch>               Listen 443 https         <VirtualHost *:443>                         DocumentRoot "d:/web/xxxcn/"                 ServerName xxx.cn                 ServerAlias www.xxx.cn                 SSLEngine on                 SSLCertificateFile "d:/apache/cert/xxxcn/xxx.cn.crt"                 SSLCertificateKeyFile "d:/apache/cert/xxxcn/xxx.cn.key"                  SSLCertificateChainFile "d:/apache/cert/xxxcn/root_bundle.crt"                 DirectoryIndex index.php index.html     <Directory "d:/web/xxxcn/">      Options FollowSymLinks      AllowOverride All     <RequireAll>         Require all granted # 屏蔽某一特定IP          Require not ip 171.8.172.102 # 屏蔽某一特定IP段         Require not ip 123.149 171.8 125.41 125.46 61.52 123.60 222.137 123.52 1.192 182.119 123.161 221.15 123.160 27.115.124 42.236.10     </RequireAll>    </Directory>     CustomLog "logs/xxxcn.log" combined         </VirtualHost>         <VirtualHost *:443>                         DocumentRoot "d:/web/yyycom/"                 ServerName yyy.com                 ServerAlias www.yyy.com                 SSLEngine on                 SSLCertificateFile "d:/apache/cert/yyycom/yyy.com.crt"                 SSLCertificateKeyFile "d:/apache/cert/yyycom/yyy.com.key"                  SSLCertificateChainFile "d:/apache/cert/yyycom/root_bundle.crt"                 DirectoryIndex index.php index.html     <Directory "d:/web/yyycom">      Options FollowSymLinks      AllowOverride All     <RequireAll>         Require all granted # 屏蔽某一特定IP          Require not ip 171.8.172.102 # 屏蔽某一特定IP段         Require not ip 123.149 171.8 125.41 125.46 61.52 123.60 222.137 123.52 1.192 182.119 123.161 221.15 123.160 27.115.124 42.236.10     </RequireAll>    </Directory>     CustomLog "logs/yyycom.log" combined         </VirtualHost> </IfModule>

        方法二：在httpd.conf 文件查找#Include conf/extra/httpd-ssl.conf并将其前面的#去掉，启用httpd-ssl.conf文件。

打开httpd-ssl.conf文件，并将以下网站默认示例配置代码删除掉（否则apache不能启动）：

<VirtualHost _default_:443> #   General setup for the virtual host DocumentRoot "${SRVROOT}/htdocs" ServerName www.example.com:443 ServerAdmin admin@example.com ErrorLog "${SRVROOT}/logs/error.log" TransferLog "${SRVROOT}/logs/access.log" #   SSL Engine Switch: #   Enable/Disable SSL for this virtual host. SSLEngine on #   Server Certificate: #   Point SSLCertificateFile at a PEM encoded certificate.  If #   the certificate is encrypted, then you will be prompted for a #   pass phrase.  Note that a kill -HUP will prompt again.  Keep #   in mind that if you have both an RSA and a DSA certificate you #   can configure both in parallel (to also allow the use of DSA #   ciphers, etc.) #   Some ECC cipher suites (http://www.ietf.org/rfc/rfc4492.txt) #   require an ECC certificate which can also be configured in #   parallel. SSLCertificateFile "${SRVROOT}/conf/server.crt" #SSLCertificateFile "${SRVROOT}/conf/server-dsa.crt" #SSLCertificateFile "${SRVROOT}/conf/server-ecc.crt" #   Server Private Key: #   If the key is not combined with the certificate, use this #   directive to point at the key file.  Keep in mind that if #   you've both a RSA and a DSA private key you can configure #   both in parallel (to also allow the use of DSA ciphers, etc.) #   ECC keys, when in use, can also be configured in parallel SSLCertificateKeyFile "${SRVROOT}/conf/server.key" #SSLCertificateKeyFile "${SRVROOT}/conf/server-dsa.key" #SSLCertificateKeyFile "${SRVROOT}/conf/server-ecc.key" #   Server Certificate Chain: #   Point SSLCertificateChainFile at a file containing the #   concatenation of PEM encoded CA certificates which form the #   certificate chain for the server certificate. Alternatively #   the referenced file can be the same as SSLCertificateFile #   when the CA certificates are directly appended to the server #   certificate for convenience. #SSLCertificateChainFile "${SRVROOT}/conf/server-ca.crt" #   Certificate Authority (CA): #   Set the CA certificate verification path where to find CA #   certificates for client authentication or alternatively one #   huge file containing all of them (file must be PEM encoded) #   Note: Inside SSLCACertificatePath you need hash symlinks #         to point to the certificate files. Use the provided #         Makefile to update the hash symlinks after changes. #SSLCACertificatePath "${SRVROOT}/conf/ssl.crt" #SSLCACertificateFile "${SRVROOT}/conf/ssl.crt/ca-bundle.crt" #   Certificate Revocation Lists (CRL): #   Set the CA revocation path where to find CA CRLs for client #   authentication or alternatively one huge file containing all #   of them (file must be PEM encoded). #   The CRL checking mode needs to be configured explicitly #   through SSLCARevocationCheck (defaults to "none" otherwise). #   Note: Inside SSLCARevocationPath you need hash symlinks #         to point to the certificate files. Use the provided #         Makefile to update the hash symlinks after changes. #SSLCARevocationPath "${SRVROOT}/conf/ssl.crl" #SSLCARevocationFile "${SRVROOT}/conf/ssl.crl/ca-bundle.crl" #SSLCARevocationCheck chain #   Client Authentication (Type): #   Client certificate verification type and depth.  Types are #   none, optional, require and optional_no_ca.  Depth is a #   number which specifies how deeply to verify the certificate #   issuer chain before deciding the certificate is not valid. #SSLVerifyClient require #SSLVerifyDepth  10 #   TLS-SRP mutual authentication: #   Enable TLS-SRP and set the path to the OpenSSL SRP verifier #   file (containing login information for SRP user accounts).  #   Requires OpenSSL 1.0.1 or newer. See the mod_ssl FAQ for #   detailed instructions on creating this file. Example: #   "openssl srp -srpvfile ${SRVROOT}/conf/passwd.srpv -add username" #SSLSRPVerifierFile "${SRVROOT}/conf/passwd.srpv" #   Access Control: #   With SSLRequire you can do per-directory access control based #   on arbitrary complex boolean expressions containing server #   variable checks and other lookup directives.  The syntax is a #   mixture between C and Perl.  See the mod_ssl documentation #   for more details. #<Location /> #SSLRequire (    %{SSL_CIPHER} !~ m/^(EXP|NULL)/ \ #            and %{SSL_CLIENT_S_DN_O} eq "Snake Oil, Ltd." \ #            and %{SSL_CLIENT_S_DN_OU} in {"Staff", "CA", "Dev"} \ #            and %{TIME_WDAY} >= 1 and %{TIME_WDAY} <= 5 \ #            and %{TIME_HOUR} >= 8 and %{TIME_HOUR} <= 20       ) \ #           or %{REMOTE_ADDR} =~ m/^192\.76\.162\.[0-9]+$/ #</Location> #   SSL Engine Options: #   Set various options for the SSL engine. #   o FakeBasicAuth: #     Translate the client X.509 into a Basic Authorisation.  This means that #     the standard Auth/DBMAuth methods can be used for access control.  The #     user name is the `one line' version of the client's X.509 certificate. #     Note that no password is obtained from the user. Every entry in the user #     file needs this password: `xxj31ZMTZzkVA'. #   o ExportCertData: #     This exports two additional environment variables: SSL_CLIENT_CERT and #     SSL_SERVER_CERT. These contain the PEM-encoded certificates of the #     server (always existing) and the client (only existing when client #     authentication is used). This can be used to import the certificates #     into CGI scripts. #   o StdEnvVars: #     This exports the standard SSL/TLS related `SSL_*' environment variables. #     Per default this exportation is switched off for performance reasons, #     because the extraction step is an expensive operation and is usually #     useless for serving static content. So one usually enables the #     exportation for CGI and SSI requests only. #   o StrictRequire: #     This denies access when "SSLRequireSSL" or "SSLRequire" applied even #     under a "Satisfy any" situation, i.e. when it applies access is denied #     and no other module can change it. #   o OptRenegotiate: #     This enables optimized SSL connection renegotiation handling when SSL #     directives are used in per-directory context.  #SSLOptions +FakeBasicAuth +ExportCertData +StrictRequire <FilesMatch "\.(cgi|shtml|phtml|php)$">     SSLOptions +StdEnvVars </FilesMatch> <Directory "${SRVROOT}/cgi-bin">     SSLOptions +StdEnvVars </Directory> #   SSL Protocol Adjustments: #   The safe and default but still SSL/TLS standard compliant shutdown #   approach is that mod_ssl sends the close notify alert but doesn't wait for #   the close notify alert from client. When you need a different shutdown #   approach you can use one of the following variables: #   o ssl-unclean-shutdown: #     This forces an unclean shutdown when the connection is closed, i.e. no #     SSL close notify alert is sent or allowed to be received.  This violates #     the SSL/TLS standard but is needed for some brain-dead browsers. Use #     this when you receive I/O errors because of the standard approach where #     mod_ssl sends the close notify alert. #   o ssl-accurate-shutdown: #     This forces an accurate shutdown when the connection is closed, i.e. a #     SSL close notify alert is send and mod_ssl waits for the close notify #     alert of the client. This is 100% SSL/TLS standard compliant, but in #     practice often causes hanging connections with brain-dead browsers. Use #     this only for browsers where you know that their SSL implementation #     works correctly.  #   Notice: Most problems of broken clients are also related to the HTTP #   keep-alive facility, so you usually additionally want to disable #   keep-alive for those clients, too. Use variable "nokeepalive" for this. #   Similarly, one has to force some clients to use HTTP/1.0 to workaround #   their broken HTTP/1.1 implementation. Use variables "downgrade-1.0" and #   "force-response-1.0" for this. BrowserMatch "MSIE [2-5]" \          nokeepalive ssl-unclean-shutdown \          downgrade-1.0 force-response-1.0 #   Per-Server Logging: #   The home of a custom SSL log file. Use this when you want a #   compact non-error SSL logfile on a virtual host basis. CustomLog "${SRVROOT}/logs/ssl_request.log" \           "%t %h %{SSL_PROTOCOL}x %{SSL_CIPHER}x \"%r\" %b" </VirtualHost>

然后根据自己实际情况增加以下代码：

#下面三行原删除的默认配置中有，现还原回来。 <FilesMatch "\.(cgi|shtml|phtml|php)$">     SSLOptions +StdEnvVars </FilesMatch>  #apache2.4版本已支持下面两行命令，可不用配置       NameVirtualHost *:443       SSLStrictSNIVHostCheck off #依次配置https协议虚拟主机网站 #配置www.xxx.cn网站         <VirtualHost *:443>                         DocumentRoot "d:/web/xxxcn/"                 ServerName xxx.cn                 ServerAlias www.xxx.cn                 SSLEngine on                 SSLCertificateFile "d:/apache/cert/xxxcn/xxx.cn.crt"                 SSLCertificateKeyFile "d:/apache/cert/xxxcn/xxx.cn.key"                  SSLCertificateChainFile "d:/apache/cert/xxxcn/root_bundle.crt"                 DirectoryIndex index.php index.html     <Directory "d:/web/xxxcn/">      Options FollowSymLinks      AllowOverride All     <RequireAll>         Require all granted # 屏蔽某一特定IP          Require not ip 171.8.172.102 # 屏蔽某一特定IP段         Require not ip 123.149 171.8 125.41 125.46 61.52 123.60 222.137 123.52 1.192 182.119 123.161 221.15 123.160 27.115.124 42.236.10     </RequireAll>    </Directory>     CustomLog "logs/xxxcn.log" combined         </VirtualHost> #配置www.yyy.cn网站         <VirtualHost *:443>                         DocumentRoot "d:/web/yyycom/"                 ServerName yyy.com                 ServerAlias www.yyy.com                 SSLEngine on                 SSLCertificateFile "d:/apache/cert/yyycom/yyy.com.crt"                 SSLCertificateKeyFile "d:/apache/cert/yyycom/yyy.com.key"                  SSLCertificateChainFile "d:/apache/cert/yyycom/root_bundle.crt"                 DirectoryIndex index.php index.html     <Directory "d:/web/yyycom">      Options FollowSymLinks      AllowOverride All     <RequireAll>         Require all granted # 屏蔽某一特定IP          Require not ip 171.8.172.102 # 屏蔽某一特定IP段         Require not ip 123.149 171.8 125.41 125.46 61.52 123.60 222.137 123.52 1.192 182.119 123.161 221.15 123.160 27.115.124 42.236.10     </RequireAll>    </Directory>     CustomLog "logs/yyycom.log" combined         </VirtualHost>

        五、保存并重启apache后生效。然后你网站就能以https://进行加密传输访问了。

原文地址：https://www.mylawcn.com/p/66bc656b4854f