Nginx 不原生支持 HTTPS 正向代理，需通过 80 端口 HTTP 代理与 443 端口 ssl_preread 模拟隧道实现；须分层调优超时参数、精细化控制状态码响应与缓存策略，并增强日志诊断能力。
Nginx 本身不原生支持标准意义上的 HTTPS 正向代理（即 CONNECT 方法隧道），但可通过两个独立 server 块分别处理 HTTP 和 HTTPS 流量，实现类正向代理功能。状态码控制和时延调优需围绕请求转发链路、DNS 解析、连接建立、响应读取及缓存策略展开，核心目标是降低失败率、缩短首字节时间（TTFB）、避免超时中断，并让错误反馈更明确。
HTTP/HTTPS 分端口代理配置（基础前提）
必须拆分为两个 server 块：80 端口处理明文 HTTP 请求，443 端口处理 HTTPS 的 CONNECT 隧道（Nginx 1.9.12+ 支持 proxy_http_version 1.1 + upgrade + connection 头模拟，但真正安全的 HTTPS 正向代理仍需搭配 ssl_preread 模块或改用 Squid）。实际可用配置如下：
- 监听 80 端口的 server：使用 proxy_pass http://$host$request_uri，配合 resolver 解析域名
- 监听 443 端口的 server：启用 ssl_preread on（需编译含 stream 模块），将 SNI 域名提取后转发至后端代理或透传；若无 stream 模块，则仅能作为“伪 HTTPS 代理”，靠客户端降级走 HTTP 或配合浏览器插件强制走 80 端口
- 务必设置 resolver 114.114.114.114 valid=30s，避免 DNS 缓存过久导致解析失败；禁用 IPv6（ipv6=off）可减少部分不可达延迟
关键时延参数精准调优
超时值不能简单设大，而应按阶段分层收紧，暴露真实瓶颈：
- proxy_connect_timeout 5s：建连超时设为 5 秒，超过则说明目标站不可达或网络路径异常，不宜延长
- proxy_send_timeout 15s：向远端发送完整请求头+体的上限，对大 POST 请求可酌情加至 30s，但默认 15s 足够识别卡顿节点
- proxy_read_timeout 25s：等待后端响应首字节的阈值，比 send_timeout 略长，覆盖慢后端场景；超过即返回 504
- resolver_timeout 3s：DNS 查询单次上限，配合 valid=30s 可控刷新频次，避免阻塞
- 禁用 keepalive_timeout 对正向代理意义不大，因每次请求目标不同，建议保持默认或设为 0（关闭长连接）
状态码行为精细化控制
正向代理中，Nginx 不生成业务逻辑状态码（如 404/500），但可干预 5xx 错误响应与缓存策略，提升可观测性：
- 用 proxy_next_upstream error timeout http_502 http_503 http_504 实现自动重试（仅限 HTTP 流量，HTTPS 隧道不适用）
- 对已知高延迟站点，用 map 指令动态调整超时：
map $host $upstream_timeout {
default 25;
api.slow-site.com 60;
}
再在 location 中写 proxy_read_timeout $upstream_timeout - 缓存策略按状态码分级：
proxy_cache_valid 200 301 302 10m（成功响应缓存 10 分钟）
proxy_cache_valid 404 1m（404 也缓存 1 分钟，防反复探测）
proxy_cache_valid any 30s（兜底，避免空缓存穿透） - 禁用 5xx 缓存：proxy_cache_valid 500 502 503 504 0，确保错误实时暴露
日志与诊断增强（辅助调优）
光调参数不够，得看清每毫秒花在哪：
- 在 log_format 中加入：$upstream_connect_time $upstream_header_time $upstream_response_time，三者分别代表建连、首包头、整包耗时
- 开启调试日志级别（error_log ... debug）仅用于问题定位，生产环境用 info 即可
- 用 add_header X-Proxy-Timing "$upstream_response_time ms" 向客户端透传后端耗时，便于前端监控对比
- 对频繁 502 场景，检查是否因 resolver 失败导致 $host 为空 → proxy_pass 解析失败，此时加 if ($host = "") { return 502; } 显式拦截
