proxy_redirect专用于修正后端302跳转响应头中的Location和Refresh字段，将其内网地址重写为公网可访问URL，不修改请求、静态资源或响应体。
当后端服务运行在 Docker 容器中（比如 172.18.0.5:8080 或 localhost:3000），它生成的 302 跳转响应头如 Location: http://localhost:3000/dashboard 或 Location: /login，直接透传给浏览器会导致跳转失败或暴露内网细节。Nginx 的 proxy_redirect 就是专为解决这类问题设计的——它不改请求，只修正响应头里的跳转地址，让客户端始终看到公网可访问的 URL。
明确 proxy_redirect 的作用边界
proxy_redirect 只处理上游响应中的 Location 和 Refresh 头，和请求转发路径无关。它不替代 proxy_pass，也不影响静态资源或 API 数据体。只要后端返回了 301/302 响应，且其中含需重写的跳转地址，它就生效。
- 它不修改请求 URI，也不重写 body 内容
- 它不自动识别协议或域名，所有匹配都靠你显式定义（包括
http://、斜杠、端口） - 规则按 location 块生效，多个 location 可配不同规则
根据后端返回类型选择匹配方式
先用 curl -I https://your-domain.com/login 查看真实返回的 Location 值，再决定怎么写规则：
- 若后端返回绝对地址，如
Location: http://172.18.0.5:8080/callback：proxy_redirect http://172.18.0.5:8080/ https://your-domain.com/; - 若后端返回相对路径，但 Nginx 配了子路径代理（如
location /api/ { proxy_pass http://backend/; }），而跳转目标是/dashboard，实际应导向/api/dashboard：proxy_redirect / /api/; - 若后端可能返回多种内网地址（不同容器 IP 或端口），用正则统一提取路径：
proxy_redirect ~^http://[^/]+(?::\d+)?/(.*)$ https://your-domain.com/$1;
适配 HTTPS 和动态协议
用户通过 HTTPS 访问，但后端是 HTTP 容器，跳转地址必须保持协议一致。单纯写死 https:// 在 HTTP 站点会出错。稳妥做法是：
- 在 server 块中加：
proxy_set_header X-Forwarded-Proto $scheme; - 后端应用读取该 header 构造跳转地址（推荐）；此时 Nginx 可简化为：
proxy_redirect http://172.18.0.5:8080/ /;
（即把内网前缀替换成相对路径，由浏览器基于当前页面协议+域名补全） - 若后端无法改造，且确定只走 HTTPS，直接写死目标协议更直观可靠
验证与排错关键点
规则不生效，90% 是因为前后缀不完全匹配：
- 检查斜杠：`http://host/` 和 `http://host` 不等价，末尾斜杠必须一致
- 检查协议：`http://` 和 `https://` 是不同字符串，不能混用
- 开启调试日志：
error_log /var/log/nginx/error.log info;
重启后看日志是否打印 “proxy redirect” 相关 rewrite 行为 - 确认规则位置：必须写在包含
proxy_pass的location块内，不能只放在server或http块顶层
