可通过Nginx sub_filter指令将响应体中http://替换为https://以解决混合内容警告，但仅适用于text/html等文本响应，需禁用压缩、关闭sub_filter_once、限定替换范围并配合proxy_redirect和CSP头协同处理。
可以通过 Nginx 的 sub_filter 指令在反向代理响应体中批量将页面内硬编码的 http:// 图片链接替换为 https://，从而避免混合内容（Mixed Content）警告。但需注意：该方法仅适用于文本型响应（如 text/html），且替换逻辑简单，不解析 DOM，存在误替风险。
启用 sub_filter 并配置基础替换规则
Nginx 默认不启用 sub_filter，需显式开启并指定 MIME 类型过滤范围。关键配置如下：
- 必须设置
sub_filter_once off，否则只替换第一个匹配项； - 用
sub_filter_types text/html application/xhtml+xml扩展支持的响应类型； - 使用正则转义或字面量精确匹配，例如：
sub_filter 'src="http://' 'src="https://';； - 确保后端返回的响应未被压缩（如禁用
gzip或设gzip_vary off），否则sub_filter无法处理压缩流。
规避常见误替换陷阱
sub_filter 是纯字符串替换，不识别 HTML 结构，容易出错。建议采取以下防护措施：
- 限定替换上下文，例如只改
src=和data-src=属性，避免误改注释、JS 字符串或 URL 中的子串； - 优先使用带引号的完整模式：
sub_filter 'src="http://' 'src="https://';，比sub_filter 'http://' 'https://'更安全； - 若页面含 JSON 内联数据或 JS 脚本，可临时排除对应
Location块或用sub_filter_last_modified on配合缓存控制降低影响； - 测试时用
curl -I查看Content-Encoding是否为gzip，确认响应未被压缩。
配合 proxy_redirect 和 header 修复其他混合内容来源
sub_filter 只处理响应体，还需同步处理响应头和重定向中的 HTTP 地址：
- 用
proxy_redirect http:// https://;修正后端返回的Location头； - 添加
proxy_set_header Referer "";或清理敏感头，防止第三方资源因 Referer 被拒； - 通过
add_header Content-Security-Policy "upgrade-insecure-requests";作为兜底策略，强制浏览器升级所有不安全请求； - 对 CSS 文件中
url(http://...)，需额外配置sub_filter_types包含text/css，并谨慎编写匹配模式。
验证与调试技巧
上线前务必逐项验证效果：
- 用
curl -s http://your-proxy-domain | grep -o 'src="http://[^"]*'检查是否仍有残留 HTTP 资源； - 浏览器开发者工具中查看 Network → Img 请求，确认协议是否均为 HTTPS；
- 开启
error_log /var/log/nginx/subfilter.log notice;，结合sub_filter_last_modified on观察是否命中替换； - 对动态生成的页面（如含 Vue/React SSR 输出），注意服务端渲染内容是否已含 HTTPS，避免重复替换导致双
https://https://错误。
