Nginx 不生成 X-Forwarded-Port，仅透传或需手动补全；CDN 普遍不设置该头，后端必须显式信任并解析，否则跳转链接、OAuth 校验等将因端口错乱而失败。
直接说结论： Nginx 本身不生成 X-Forwarded-Port，它只负责透传或构造——而绝大多数 CDN（Cloudflare、阿里云 CDN、腾讯云 CDN、CloudFront）根本不会设置这个头。所以你不能依赖 CDN 提供它，必须靠 Nginx 主动补全，且后端应用必须明确信任并解析该头。
为什么 X-Forwarded-Port 在多层代理中经常为空或错乱
CDN 层几乎从不设置 X-Forwarded-Port：Cloudflare 固定用 443/80，阿里云 CDN 默认不透传端口信息，腾讯云 CDN 仅在开启“透传客户端端口”开关时才可能带，但该开关实际影响的是 X-Forwarded-For 的端口部分，而非独立的 X-Forwarded-Port 头。Nginx 默认也不会自动填充它——$scheme 只能告诉你协议，不能告诉你客户端连的是 443 还是 8443。
常见错误现象包括：
- 后端生成跳转链接变成
http://example.com:8080（Nginx 回源走 HTTP 8080，但用户实际访问的是 HTTPS 443） - Django 的
request.build_absolute_uri()返回带错端口的 URL - Spring Boot 的
server.forward-headers-strategy=framework未识别端口，导致 OAuth redirect_uri 校验失败
proxy_set_header X-Forwarded-Port $server_port 的陷阱
很多人直接写 proxy_set_header X-Forwarded-Port $server_port;，但这只在 Nginx 直接暴露给用户时有效。一旦前面有 CDN，$server_port 是 Nginx 自己监听的端口（比如 80 或 443），不是客户端最初连接的端口（比如用户通过 443 访问，但 CDN 回源走的是 8080）。更糟的是：如果 Nginx 前还有负载均衡器（如 ALB、SLB），$server_port 完全失真。
正确做法是结合 X-Forwarded-Proto 推导默认端口，并允许 CDN 显式透传：
- 先确认 CDN 是否设置了
X-Forwarded-Port：加日志log_format debug '$http_x_forwarded_port $scheme $server_port';，发起请求看 access log - 若 CDN 透传了（极少数），直接透传：
proxy_set_header X-Forwarded-Port $http_x_forwarded_port; - 若未透传，用 map 做智能兜底：
map $http_x_forwarded_proto $real_port { "https" "443"; "http" "80"; default $server_port; } proxy_set_header X-Forwarded-Port $real_port;
后端必须显式启用 X-Forwarded-Port 解析
光 Nginx 设置没用。后端框架默认忽略 X-Forwarded-Port，必须手动打开支持：
- Django：需配合
SECURE_PROXY_SSL_HEADER使用，但 Django 原生不读X-Forwarded-Port；得靠中间件或重写get_port()方法 - Spring Boot：设
server.forward-headers-strategy=native（2.7+）或server.tomcat.remoteip.port-header=X-Forwarded-Port - Express（Node.js）：
app.set('trust proxy', true)后，req.get('X-Forwarded-Port')才可用，否则req.port仍返回内部端口 - Flask：Werkzeug 的
ProxyFix不处理端口，需自定义中间件提取X-Forwarded-Port并 patchenviron['SERVER_PORT']
避免 X-Forwarded-Port 被多层代理污染
如果 Nginx 前还有 LB（比如 AWS ALB → Nginx → Tomcat），ALB 可能已设 X-Forwarded-Port，此时再用 proxy_set_header X-Forwarded-Port ... 会覆盖原始值，导致丢失真实端口。
安全做法是「只在必要时覆盖」：
- 检查上游是否已提供：
if ($http_x_forwarded_port = "") { ... }不推荐——Nginx 的 if 在 location 中限制多，易出错 - 更稳方案：用 map 判断来源可信度，例如只信任来自 CDN IP 段的
X-Forwarded-Port：set_real_ip_from 192.0.2.0/24; # 替换为你的 CDN 真实 IP 段 real_ip_header X-Forwarded-For; real_ip_recursive on; map $http_x_forwarded_port $use_upstream_port { "" 0; default 1; } proxy_set_header X-Forwarded-Port $http_x_forwarded_port;
真正麻烦的从来不是怎么写这行配置，而是你得同时确认 CDN 行为、Nginx 继承逻辑、后端框架解析机制三者严丝合缝——漏掉任意一环，X-Forwarded-Port 就只是个摆设头。
