Question

一篇文章让你搞懂SSL证书

Answer 1

分析整个系统制定计划，有计划才能没变化。其实也没什么要做的，只有一件事，你接下来要做的唯一一件事就是了解整个系统。统计出所有已用到的域名，需要购买什么类型域名证书，是二级域名、三级域名还是各种乱七八糟的域名，自己分析;再然后，了解每个域名背后的服务是如何运作的，这里边会涉及到前端页面、一些资源文件的固定协议引用，后端代码中关于协议获取是写死的还是动态的，数据库中存储的网址链接等等，这些统统要考虑到。

分析完系统后，其中肯定会存在混合协议访问请求，HTTPS下浏览器会拦截掉所有HTTP请求的，不同页面间跳转、不同服务域名间跳转如果是以固定的HTTP协议写死的，要支持全站HTTPS协议，首要解决的是以当前协议来灵活的区分不同域名服务间的跳转。其次，HTTPS协议首次请求存在多次握手，因此网络耗时变长问题，可能会影响系统访问速度。所以，我是建议计划分为两个阶段来进行全站HTTPS升级：

一阶段：将目前所有域名配置为支持HTTP和HTTPS两种协议，不做HTTP请求强制HTTPS跳转。在验证及测试完成HTTPS下，系统所有服务以及访问速度均无问题后，进行实施二阶段计划。

二阶段：在上阶段不强制HTTPS访问验证通过后，域名做强制HTTPS协议。即当用户以HTTP协议访问系统时，如用Nginx做强制301跳转到HTTPS协议，做到全站HTTPS安全访问协议。

不出意外，按照这两步计划，应该可以稳妥是进行全站HTTPS升级工作，当然，期间不可避免的会踩一些坑，因为每个公司业务不同、系统环境不同等原因，都会遇到不可预估的问题，一个个解决就行了。我下面会写一下升级期间共性的、也就是每个人都必须要踩的坑和如何解决这些问题。