典型表现是后端生成Location: http://example.com/login等HTTP跳转，导致浏览器降级、Nginx反复301重定向形成闭环；根本原因是X-Forwarded-Proto未显式透传，需配置proxy_set_header X-Forwarded-Proto $scheme;并配合后端框架信任该头。
后端应用因 X-Forwarded-Proto 未透传而误判 HTTPS 状态
典型表现是：Nginx 配置了 SSL，对外提供 https://example.com，但后端（如 Django、Spring Boot、Next.js）收到的请求仍被识别为 HTTP，于是它生成 Location: http://example.com/login 这类跳转头——浏览器拿到后跳回 HTTP，Nginx 又强制 301 到 HTTPS，形成闭环。
根本原因不是 Nginx 自己跳转，而是后端依赖 X-Forwarded-Proto 判断协议，而该头默认不自动传递。
-
proxy_set_header X-Forwarded-Proto $scheme;必须显式配置，且放在location块内、proxy_pass之前 - 若 Nginx 本身监听多个端口（如 80 + 443），
$scheme会动态取值（http或https），无需硬编码 - Spring Boot 用户需额外启用
server.forward-headers-strategy=framework，否则忽略该头 - Django 用户需设置
SECURE_PROXY_SSL_HEADER = ('HTTP_X_FORWARDED_PROTO', 'https')
proxy_redirect 没生效？检查匹配顺序和协议一致性
proxy_redirect 不是“全局替换”，它按规则逐条匹配响应头中的 Location 值。常见失效场景是：后端返回了 https://localhost:3000/，但你只写了 proxy_redirect http://localhost:3000/ https://example.com/; —— 协议不匹配，规则跳过。
- 必须为每种可能的协议+主机组合单独写一条：
proxy_redirect http://localhost:3000/ https://example.com/;、proxy_redirect https://localhost:3000/ https://example.com/;、proxy_redirect http://127.0.0.1:3000/ https://example.com/; - 正则形式更鲁棒：
proxy_redirect ~^https?://[^/]+(/.*)$ https://example.com$1;，但注意它不能处理带 query 的重定向（?后内容会被截断） -
proxy_redirect必须写在proxy_pass之后，否则 Nginx 会忽略
Flask / Gunicorn 场景下 Host 头污染引发循环
当 Flask 应用开启 DEBUG=True 或使用 Werkzeug 开发服务器时，它可能根据 Host 头自动生成跳转 URL。若 Nginx 把原始 Host（如 example.com）直接透传给后端，而应用又没做反向代理适配，就可能生成错误跳转。
- 务必配置：
proxy_set_header Host $host;（不是$http_host），确保后端看到的是客户端请求的域名 - 禁用 Flask 的自动重定向修正（如有）：
app.config['PREFERRED_URL_SCHEME'] = 'https'，配合X-Forwarded-Proto使用 - Gunicorn 启动时加
--forwarded-allow-ips="*"，否则它会丢弃所有X-Forwarded-*头
SPA 路由兜底与重定向共存时的路径冲突
单页应用（如 React Router、Vue Router）常用 try_files $uri $uri/ /index.html; 实现前端路由。但如果后端返回 302 到 /login，而该路径本身又命中 location / 的 try_files 规则，就可能触发内部重定向循环（报错 rewrite or internal redirection cycle）。
- 避免把
try_files和proxy_pass混在同一location：静态资源走try_files，API 和跳转路径走proxy_pass - 明确分离规则，例如：
location ^~ /api/ { proxy_pass http://backend; }、location / { try_files $uri $uri/ /index.html; } - 若后端跳转目标是
/login这类前端路由，确保它返回的是相对路径，而非绝对 URL；否则需用proxy_redirect统一改写
最易被忽略的一点：所有 X-Forwarded-* 头必须由 Nginx 显式注入，后端不会“猜”；而 proxy_redirect 的匹配是严格字符串/正则匹配，少一条协议变体就漏掉一次重写。
