最轻量方案是在Nginx代理层用sub_filter将http://脚本链接批量替换为https://，需关闭gzip/brotli压缩、扩展sub_filter_types、精准匹配src/href边界字符串、启用sub_filter_once off，并配合upgrade-insecure-requests头覆盖JS动态拼接场景。
直接在 Nginx 代理层用 sub_filter 把响应体里的 http:// 脚本链接批量替换成 https://，是最轻量、零改后端代码的解决方式。关键不是“能不能换”，而是“换得全不全、稳不稳”。
必须关闭响应压缩
gzip 或 brotli 压缩后的响应是二进制流，sub_filter 只处理明文文本。只要后端返回了 Content-Encoding: gzip，替换就完全失效。
- 在对应
location块中加gzip off;（最稳妥） - 或全局禁用压缩（如仅用于此代理场景）
- 不推荐依赖
gunzip on，它有兼容性风险且增加开销
显式声明可处理的 MIME 类型
sub_filter 默认只作用于 text/html，但脚本引用常出现在 text/javascript、application/json（如配置接口）、甚至内联 text/css 中。
- 加上
sub_filter_types text/html text/javascript application/json text/css; - 若不确定类型，可用
sub_filter_types *;强制覆盖所有响应（注意：对图片、PDF 等二进制内容无影响，但会多一次无效扫描）
精准替换 HTTP 脚本地址
只替换 http:// 开头的脚本引用，避免误伤其他字段（比如 JSON 里的 "http_status": 200）。重点匹配 <script src="http://%20%E5%92%8C%20src=" http:> 这类上下文更安全，但 <code>sub_filter</script> 不支持正则捕获，所以退而求其次——用带边界的静态字符串：
sub_filter 'src="http://' 'src="https://';sub_filter "src='http://" "src='https://";-
sub_filter 'href="http://' 'href="https://';（兼顾 CSS/Link 引用） - 务必加
sub_filter_once off;，否则只改第一个匹配项
处理动态拼接路径的边界情况
有些前端会用 JS 拼接 URL，例如 document.write('<script src="'%20+%20protocol%20+%20'//cdn.com/a.js"></script>')。这类无法被 sub_filter 触及。
- 这类情况需配合
Content-Security-Policy: upgrade-insecure-requests响应头，浏览器自动将页面内所有http://请求升为https:// - 在 location 中加：
add_header Content-Security-Policy "upgrade-insecure-requests"; - 这是 W3C 标准方案，与
sub_filter形成互补，覆盖静态替换盲区
