通过Nginx的sub_filter在负载均衡层将响应体中http://替换为https://，并配合add_header Content-Security-Policy "upgrade-insecure-requests;"实现双重防护，可高效解决Mixed Content问题。

直接在负载均衡层用 sub_filter 修复混合内容，核心是让 Nginx 在把后端响应发给浏览器前，把其中所有明文 http:// 替换成 https://，同时确保替换能真正生效——这比改源码或前端更轻量，适合无法控制后端输出的场景。

必须关闭响应压缩

sub_filter 只处理未压缩的明文响应。如果后端返回 gzip 压缩内容，Nginx 默认不会解压再替换，导致指令“静默失效”。

• 在 location 块中显式禁用压缩：proxy_set_header Accept-Encoding "";
• 避免 upstream 主动返回 Content-Encoding: gzip；必要时可加 proxy_ignore_headers Content-Encoding;
• 不建议用 gzip off; 全局关压缩，应只对需要 sub_filter 的路径生效

精准匹配并覆盖所有 MIME 类型

默认 sub_filter 只处理 text/html，但混合内容常藏在 JSON 接口、内联 JS、CSS 或 meta 刷新跳转里。

• 强制处理常见文本类型：sub_filter_types text/html text/css application/javascript application/json text/plain;
• 若不确定类型，可用 sub_filter_types *;（注意：Nginx 1.19+ 支持，旧版本需列全）
• 特别注意：JSON 响应必须包含 application/json，否则替换完全不触发

替换逻辑要完整且安全

只替换 http:// 容易漏掉协议相对 URL 或硬编码域名，还可能误伤非 URL 内容（如注释、字符串字面量）。

• 基础修复：sub_filter 'http://' 'https://'; + sub_filter_once off;
• 增强兼容性：补充替换常见绝对路径前缀，例如：sub_filter 'src="http://' 'src="https://';、sub_filter "url('http://" "url('https://";
• 避免跨域污染：若后端返回的是第三方域名（如 http://cdn.example.com），应只替换你可控的域名，而不是全局 http://

配合 CSP 头做双重保险

sub_filter 是内容层兜底，CSP 是浏览器层强制升级，两者叠加更可靠。

• 添加响应头：add_header Content-Security-Policy "upgrade-insecure-requests;";
• 该头会指示浏览器自动将页面中所有 HTTP 资源请求升级为 HTTPS，即使 HTML 里没改过来
• 注意：它不能修复跳转（如 meta http-equiv="refresh"）或 JS 动态拼接的 URL，这部分仍依赖 sub_filter