正确做法是用proxy_set_header X-Forwarded-Proto $scheme;动态传递真实协议，避免硬编码https导致混合环境重定向死循环，并配合后端信任解析该头。
直接写死 proxy_set_header X-Forwarded-Proto https 是最常见、也最容易引发重定向死循环的配置错误。真正安全的做法，是让 Nginx 动态反射用户真实访问协议——用 $scheme，而不是硬编码。
别写死，要动态传
硬编码为 https 会强制所有请求“假装”走 HTTPS，哪怕用户实际是通过 HTTP 访问（比如本地调试、CDN 回源、测试环境），后端无法分辨真假，极易触发跳转逻辑反复执行。
- ✅ 正确写法：
proxy_set_header X-Forwarded-Proto $scheme; - ❌ 危险写法：
proxy_set_header X-Forwarded-Proto https;或http; - 若存在多级代理（如 CDN → Nginx → 应用），下级应优先读取上级传来的值：
proxy_set_header X-Forwarded-Proto $http_x_forwarded_proto; - 更稳妥可用
map做兜底：
map $http_x_forwarded_proto $real_scheme {
default $http_x_forwarded_proto;
"" $scheme;
}
然后使用proxy_set_header X-Forwarded-Proto $real_scheme;
Host 头必须规范透传
错传 Host 头会导致后端生成带端口（如 :443）、或内部地址（如 localhost:8000）的跳转 URL，浏览器再发请求回来，Nginx 又转发，形成套娃循环。
- ✅ 推荐：
proxy_set_header Host $host;—— 自动剥离端口，只保留标准域名 - ❌ 避免：
proxy_set_header Host $http_host;—— 会原样保留example.com:443这类含端口的值 - 补充关键头增强可靠性：
proxy_set_header X-Forwarded-Host $host;proxy_set_header X-Forwarded-Port $server_port;
CDN 和中间层常是隐藏推手
Cloudflare、阿里云全站加速等 CDN 往往悄悄改写协议或丢弃头信息，成为循环的真正源头。
- 检查 CDN 的 SSL 模式：「灵活」模式 = CDN 用 HTTP 回源 → 你的 Nginx 却又跳 HTTPS → 死循环
→ 改为「完全」或「完全（严格）」模式 - 关闭 CDN 的「自动 HTTPS 重写」功能（它可能覆盖你传的
X-Forwarded-Proto） - 确认 Nginx 是否启用了
underscores_in_headers on;（部分 CDN 用下划线传头，如X_Forwarded_Proto，默认会被忽略） - 排查宝塔等面板是否残留未清理的
return 301 https://规则，即使界面开关已关，配置文件里也可能还留着
后端必须主动信任并使用这个头
Nginx 传了头，后端不认等于白传。不同框架启用方式不同，但目标一致：用 X-Forwarded-Proto 替代默认的协议判断逻辑。
-
WordPress：在
wp-config.php开头加
if (isset($_SERVER['HTTP_X_FORWARDED_PROTO']) && $_SERVER['HTTP_X_FORWARDED_PROTO'] === 'https') {
$_SERVER['HTTPS'] = 'on';
} -
Django：设置
SECURE_PROXY_SSL_HEADER = ('HTTP_X_FORWARDED_PROTO', 'https') -
Spring Boot：配置
server.forward-headers-strategy=framework -
数据库/配置项也要同步：WordPress 的
siteurl和home必须设为对外 HTTPS 地址（如https://example.com），不能是http://或带端口的地址
