核心解法是用 Nginx 的 proxy_redirect 指令在响应发出前精准替换重定向 Location 头中的私有端口地址，而非修改后端代码；它稳定可靠、仅作用于 3xx 响应、支持正则与变量，且需配合 proxy_set_header 传递原始请求上下文。
后端私有端口（如 8080、8000、3000）在重定向中暴露，本质是后端生成的 Location 响应头用了自己的监听地址，而不是用户实际访问的域名+端口。Nginx 默认不改写这类跳转，所以问题直接透出到浏览器——用户看到 https://example.com:8080/login 这类错误 URL。核心解法不是堵后端，而是用 proxy_redirect 在 Nginx 层做精准替换。
为什么 proxy_redirect 比改后端更可靠
后端框架（Spring Boot、Express、Flask 等）生成重定向时，常依赖 request.getScheme()、request.getServerPort() 等原始请求信息。即使加了 X-Forwarded-Proto，部分老版本或自定义逻辑仍会忽略它。而 proxy_redirect 是 Nginx 在响应发出前的最后一道拦截，不依赖后端配合，稳定生效。
- 只作用于 301/302/307 等重定向响应的
Location头 - 支持正则匹配和变量替换，可处理动态路径
- 不影响正常内容响应，无副作用
基础语法与典型配置
关键格式：proxy_redirect <旧前缀> <新前缀>;。Nginx 会把 Location 值中匹配 <旧前缀> 的部分，替换成 <新前缀>。
安装并运行 Aperture（Lightning Labs 的 L402 闪电反向代理），用于创建 L402 付费墙、配置付费 API 端点、为其他代理托管付费内容或测试 L402 认证流程。
- 后端返回
http://127.0.0.1:8080/login→ 替换为https://api.dbblive.com/login：proxy_redirect http://127.0.0.1:8080/ https://api.dbblive.com/; - 后端返回
http://localhost:8080/api/v1/data→ 统一映射到 HTTPS 域名：proxy_redirect ~^http://localhost:8080(/.*)$ https://api.dbblive.com$1; - 兼容 HTTP 和 HTTPS 入口（如测试环境走 80 端口）：
proxy_redirect ~^(http|https)://[^/]+:8080(/.*)?$ $1://api.dbblive.com$2;
必须搭配的 header 设置
proxy_redirect 解决的是“跳转目标错”，但要让后端自己生成正确的跳转，仍需传递原始上下文。否则它可能继续返回带私有端口的 URL，导致 Nginx 反复替换或漏替换。
-
proxy_set_header Host $host;：确保后端getHeader("Host")拿到的是api.dbblive.com，不是127.0.0.1:8080 -
proxy_set_header X-Forwarded-Proto $scheme;：让后端知道原始是 HTTP 还是 HTTPS -
proxy_set_header X-Forwarded-Port $server_port;：尤其当 Nginx 监听非标准端口（如 777）时，后端需知悉原始端口
调试与验证方法
别靠猜，用工具确认是否生效：
- 用
curl -I https://api.dbblive.com/login查看响应头中的Location是否已变成干净域名 - 在 Nginx 日志中开启
error_log /var/log/nginx/debug.log debug;，搜索proxy_redirect关键字 - 临时加一条
add_header X-Debug-Redirect "$upstream_http_location";，把原始Location值透出到响应头对比
不复杂但容易忽略：proxy_redirect 是纯字符串替换，不解析 URL 结构。所以旧前缀必须严格匹配 Location 中的真实值，建议先抓包看后端到底返回了什么，再写规则。
