Nginx反向代理HTTPS后端多证书环境的关键是启用SNI并动态传递域名：需配置proxy_ssl_server_name on和proxy_ssl_name $host（或$http_x_forwarded_host），确保TLS握手时ClientHello的SNI字段准确匹配请求域名，并验证OpenSSL版本≥1.0.2h且上游支持SNI。
要让 Nginx 在反向代理 HTTPS 后端时正确匹配多证书环境（比如同一 IP 上托管多个域名、各用不同证书），关键不是只配证书，而是确保 TLS 握手阶段把用户请求的域名准确告诉上游——这靠 proxy_ssl_server_name 和配套设置来实现。
必须开启 SNI 并动态传 Host 名
proxy_ssl_server_name on 是开关，但它本身不决定传什么值。真正起作用的是 proxy_ssl_name，它指定 TLS ClientHello 中 SNI 字段的内容：
- 在
location或upstream块中加proxy_ssl_server_name on; - 紧接着配
proxy_ssl_name $host;（推荐）或proxy_ssl_name $http_host;，让 SNI 值随请求头中的 Host 动态变化 - 避免写死如
proxy_ssl_name "api.example.com";，除非所有流量都指向唯一后端域名
应对 CDN 回源时 Host 被覆盖
Cloudflare、阿里云全站加速等 CDN 默认会把回源 Host 改成源站配置域名（比如 origin.example.com），导致 $host 失真，SNI 错配：
FastAPI Flask Proxy
下载
FastAPI + Flask 混合部署最佳实践，解决路由定义、API 代理等常见问题，适用于同时运行 FastAPI API 与 Flask 前端的场景。
- 在 CDN 控制台开启“透传原始 Host”功能，通常表现为传递
X-Forwarded-Host头 - Nginx 中改用
proxy_ssl_name $http_x_forwarded_host; - 顺手加上
proxy_set_header X-Forwarded-Host $host;，方便后端识别真实域名
验证 SNI 是否真正生效
配置写对了不等于跑对了，得看 TLS 握手时实际发出去的是什么：
- 在上游服务器（如另一台 Nginx）开启 debug 日志：
error_log /var/log/nginx/error.log debug;，搜索日志里类似client sent server name "xxx.com"的条目 - 用 OpenSSL 手动模拟：
openssl s_client -connect 10.0.0.100:443 -servername your-domain.com，观察返回的证书是否匹配该域名 - 注意：若 CDN 实际走 HTTP 回源，
proxy_ssl_*系列指令完全不生效，先确认回源协议是 HTTPS
检查底层支持是否到位
即使配置无误，也可能因运行环境缺失关键能力而失败：
- 运行
nginx -V | grep OpenSSL，确认加载的是 OpenSSL ≥1.0.2h，且编译时启用了 TLS extension（enable-tlsext） - 上游服务（如负载均衡器、老版本 Nginx）也得支持 SNI，否则仍会返回默认证书
- 若上游证书未绑定 SNI 中的域名，
openssl s_client会提示证书 subject 不匹配
