在WordPress中使用该代码实现Cloudflare SSL功能是否安全？

这段代码的安全性和适用性完全取决于你的源站配置 #

基础逻辑合理性

你贴的这段代码是解决Cloudflare反向代理下HTTPS重定向循环的标准方案之一，逻辑本身没有问题：

• Cloudflare作为反向代理，用户到Cloudflare的请求走HTTPS，但Cloudflare回源到你的服务器默认走HTTP时，源站服务器无法感知用户端实际是HTTPS访问，会持续触发WordPress的HTTPS跳转逻辑，形成死循环
• HTTP_X_FORWARDED_PROTO是Cloudflare回源时默认携带的头，用来标识用户端实际用的访问协议，这段代码就是通过识别这个头，告诉WordPress当前用户是HTTPS访问，从而终止跳转逻辑

安全性边界

• 如果你已经配置了源站防火墙，仅允许Cloudflare官方IP段访问你的服务器80/443端口，这段代码是100%安全的，不存在伪造头的风险
• 如果你没有做源站IP限制，外部用户可以绕过Cloudflare直接访问你的源站，这段代码就存在风险：攻击者可以自行构造携带X-Forwarded_PROTO: https的HTTP请求，欺骗源站认为当前是HTTPS连接，可能导致敏感数据明文传输的问题

更推荐的最佳实践

不要直接无限制使用这段代码，更稳妥的处理方式有这些：

• 优先配置源站IP白名单，只放行Cloudflare的官方IP段访问Web端口，从根源避免请求头伪造的问题，这是所有方案的前提
• 优先在Web服务器层（Nginx/Apache）处理协议识别逻辑，而不是在WordPress的wp-config.php里添加代码，Web服务器层的处理效率更高，也可以直接绑定IP校验规则，安全性更好
• 如果你一定要在WordPress代码层面添加逻辑，可以在原有代码的基础上额外加一层请求来源IP校验，只有请求来自Cloudflare IP段的时候才执行$_SERVER['HTTPS'] = 'on'的逻辑

至于你提到的直接写$_SERVER['HTTPS'] = 'on'的做法完全不推荐，这种写法会强制让WordPress认为所有请求都是HTTPS，不管实际访问协议是什么，很容易出现资源加载错误、跳转异常等问题，只有全站强制走Cloudflare HTTPS且做了源站IP限制的极端场景下才能临时凑合用，不属于通用方案。

内容的提问来源于stack exchange，提问作者Om Naidu