올바른 이해와 사용 방법

$_SERVER['HTTPS']는 스크립트가 HTTPS(보안) 프로토콜을 통해 요청된(queried) 경우 비어 있지 않은 문자열 값으로 설정됩니다.

$_SERVER['HTTPS']는 현재 페이지 URL 요청의 프로토콜이 https인지 체크하는 데 유용합니다.

URL의 프로토콜 정보

URL에서 프로토콜이란 http 또는 https처럼 URL의 첫 부분을 구성하는 요소를 말합니다. 스킴(Scheme)이라고도 합니다.

예 - URL에서 프로토콜: http
예 - URL에서 프로토콜: https

URL에서 사용되는 프로토콜은 일반적인 http나 https 이외에도 개발 환경이나 네트워크 환경에 따라 다양한 종류(예: file 등)가 사용됩니다.

$_SERVER['HTTPS']는 현재 URL에서 사용되는 프로토콜 중 웹 서버로부터 전달받은 요청 정보를 기반으로 https인지 체크하는 데 사용됩니다.

$_SERVER['HTTPS']

슈퍼글로벌 변수인 $_SERVER는 현재 실행 중인 PHP 스크립트와 관련된 서버 및 실행 환경에 대한 정보가 키와 값으로 구성된 연관 배열입니다. 이 연관 배열에는 현재 실행 중인 URL 정보도 포함되어 있습니다. 이 URL 정보를 가지고 있는 키 중 $_SERVER['HTTPS']는 스크립트가 HTTPS(보안) 프로토콜을 통해 요청된(queried) 경우 비어 있지 않은 문자열 값으로 설정됩니다.

다음은 "슈퍼글로벌" 용어에 대한 간단한 부연설명입니다.
슈퍼글로벌
슈퍼글로벌 변수는 PHP에서 글로벌 범위(글로벌 스코프, Global Scope)에서 사용할 수 있는 특수한 변수입니다. 슈퍼글로벌 변수는 어디에서나 사용할 수 있기 때문에 이름에서 알 수 있듯이 "슈퍼글로벌"이라고 불립니다.

PHP는 웹 서버로부터 전달받은 요청 정보를 기반으로 $_SERVER['HTTPS'] 값을 설정합니다.

즉, 브라우저가 HTTPS 프로토콜을 사용하여 서버에 요청을 보내고, 웹 서버가 해당 정보를 PHP에 전달하면 $_SERVER['HTTPS']는 비어 있지 않은 문자열 값(non-empty string value)으로 설정됩니다.

일반적인 웹 서버 환경에서 HTTPS 프로토콜이 사용되었다면 다음과 같은 값이 사용될 수 있습니다.

PHP 
echo $_SERVER['HTTPS'];

// 출력 예:
// on

또는,

PHP 
echo $_SERVER['HTTPS'];

// 출력 예:
// 1

하지만 PHP의 공식 문서에서는 $_SERVER['HTTPS']의 값이 반드시 특정 문자열이어야 한다고 정의하지는 않습니다. 단지 비어 있지 않은 문자열 값이라고 정의하고 있습니다.

$_SERVER['HTTPS'] 값 확인하기

HTTPS 요청과 일반 HTTP 요청에서 $_SERVER['HTTPS'] 값은 다음과 같이 다르게 설정됩니다.

HTTPS 요청과 일반 HTTP 요청에서 $_SERVER['HTTPS'] 값
요청 방식$_SERVER['HTTPS']
HTTPS 요청 비어 있지 않은 문자열 값
HTTP 요청 설정되지 않거나 빈 문자열('') 값

따라서 현재 요청이 HTTPS를 사용하는지 $_SERVER['HTTPS'] 값으로 확인할 때는 다음과 같이 작성할 수 있습니다.

PHP 
if (isset($_SERVER['HTTPS']) && !empty($_SERVER['HTTPS'])) {
    echo 'HTTPS 프로토콜 사용';
}

$_SERVER['HTTPS']만으로 HTTPS를 확인할 때의 한계

$_SERVER['HTTPS']는 일반적인 웹 서버 환경에서 HTTPS 요청 여부를 확인하는 데 유용하지만, 모든 서버 환경에서 실제 클라이언트의 요청 프로토콜을 정확하게 판단할 수 있는 것은 아닙니다.

다음과 같은 상황일 수 있습니다.

  • 일부 서버 환경에서는 $_SERVER['HTTPS']가 설정되지 않아 $_SERVER['SERVER_PORT']와 같은 다른 정보를 통해 HTTPS 사용 여부를 판단해야 할 수 있습니다.
  • 또한 프록시(Proxy)나 로드 밸런서(Load Balancer) 등을 통해 요청이 전달되는 환경에서는 클라이언트와 웹 서버 사이의 프로토콜과 웹 서버와 PHP 사이의 프로토콜이 다를 수 있기 때문에 추가적인 확인이 필요할 수 있습니다.

따라서 $_SERVER['HTTPS']만으로 HTTPS 사용 여부를 확인하기 어려운 환경까지 고려해야 한다면, 다음과 같이 여러 서버 정보를 확인하는 함수를 만들어 사용할 수 있습니다.

일러두기!
소개하는 예제 코드 예제는 HTTPS 사용 여부를 확인하는 일반적 관점에서의 설명 예이므로, 정확성이나 확장성을 보장하거나 보증할 수 없습니다. 따라서, 모든 자료와 예제를 신뢰하기 전에 스스로의 판단에 따라 오류, 버그, 취약점이 없는지 신중하게 테스트하고 검토해야 합니다.

PHP 
/* HTTPS 사용 여부를 확인하는 함수 */
function is_https() {
    // $_SERVER['HTTPS']가 존재하고 비어 있지 않은 경우
    if (isset($_SERVER['HTTPS']) && !empty($_SERVER['HTTPS'])) {
        return true;
    }

    // $_SERVER['HTTPS']가 없거나 비어 있는 경우 HTTPS 기본 포트인 443 확인
    if (isset($_SERVER['SERVER_PORT']) && (string) $_SERVER['SERVER_PORT'] === '443') {
        return true;
    }

    // 프록시 또는 로드 밸런서가 전달한 원래 프로토콜 확인
    if (isset($_SERVER['HTTP_X_FORWARDED_PROTO']) && $_SERVER['HTTP_X_FORWARDED_PROTO'] === 'https') {
        return true;
    }

    return false;
}

$protocol = is_https() ? 'https' : 'http';
echo $protocol;

참고문헌

같이 보기