HTTPS强制跳转必须在CDN层完成，避免源站Nginx跳转导致回源闭环；应开启CDN“HTTP自动跳转HTTPS”功能、关闭源站重定向、配置回源协议为HTTPS，并信任X-Forwarded-Proto头以确保应用正确识别协议。
HTTPS 强制跳转必须在 CDN 层完成
用户访问 http://example.com 时，如果跳转逻辑放在 Nginx（源站）上，会出现回源闭环问题：CDN 收到 HTTP 请求 → 转发给源站 → 源站返回 301 到 HTTPS → CDN 再次用 HTTP 请求源站的 HTTPS 地址（或直接报错），导致跳转失败、循环重定向、SSL 握手异常等。根本原因是 CDN 默认以 HTTP 协议回源，而源站又要求 HTTPS 访问，形成死锁。
CDN 控制台开启「HTTP 自动跳转 HTTPS」开关
主流 CDN（如阿里云 DCDN、腾讯云 CDN、Cloudflare、又拍云等）都提供「强制 HTTPS」或「HTTP 自动跳转 HTTPS」功能，本质是 CDN 边缘节点收到 HTTP 请求后，**不回源**，直接返回 301/302 到对应 HTTPS 地址（如 https://example.com$request_uri）。这是最安全、最高效的做法。
- 确保该功能开启，并检查是否支持保留原始 URI（即跳转时带路径和参数）
- 关闭源站 Nginx 的 HTTP → HTTPS 重定向配置（如
return 301 https://$host$request_uri;），避免干扰 - 确认 CDN 回源协议设为 HTTPS（尤其当源站只监听 HTTPS 443 端口时）
Nginx 配置仅处理「已到达源站的 HTTPS 请求」
CDN 完成跳转后，所有到达 Nginx 的请求已是 HTTPS，此时 Nginx 只需专注业务逻辑，无需再做协议判断。但要注意：CDN 通常通过 X-Forwarded-Proto 或 X-Forwarded-For 传递原始协议信息，Nginx 必须信任这些头，否则 PHP/Node.js 等应用可能误判为 HTTP，生成错误的链接或重定向。
- 在 server 块中添加：
set $real_scheme $http_x_forwarded_proto;，并在 location 中用$real_scheme替代$scheme - 若使用 fastcgi，需透传头：
fastcgi_param HTTPS on;（当$http_x_forwarded_proto = "https"时） - 检查 Laravel、WordPress 等框架是否启用了「强制 HTTPS」中间件——应关闭，交由 CDN 统一管控
验证闭环是否真正打通
用 curl 模拟真实链路，分三步验证：
- curl -I http://example.com → 应返回 301 Moved Permanently，Location 为 https://example.com/，且 无回源日志（Nginx access.log 不出现该请求）
- curl -I https://example.com → 返回 200，Header 中 X-Cache: HIT（或类似 CDN 命中标记）
- 浏览器打开 http://example.com，地址栏应秒变 https，开发者工具 Network 标签中只有 1 次 301 + 1 次 200，无多次跳转或混合内容警告
