Nginx需同时配置proxy_redirect升级Location头协议和proxy_set_header传递X-Forwarded-Proto，后端据此生成HTTPS跳转；验证用curl -I检查Location是否为https://，避免硬编码HTTP。
核心是让 Nginx 主动把后端返回的 Location: http://... 改成 https://...，同时确保后端自己生成跳转地址时也用 HTTPS——单靠前端重写只是补救，双管齐下才稳定。
用 proxy_redirect 升级协议头
在对应 location 块中、proxy_pass 指令之后添加：
-
proxy_redirect http:// https://;—— 最简写法，匹配所有以http://开头的 Location 地址并升级协议 - 若只改特定域名（如防止误改第三方跳转）：
proxy_redirect http://example.com/ https://example.com/; - 支持变量动态适配（Nginx ≥ 1.11.8）：
proxy_redirect ~^http://([^/]+)(/.*)?$ https://$1$2;，自动保留原域名和路径
必须传递 X-Forwarded-Proto 告知后端真实协议
仅重写响应头治标，后端若不知道用户走的是 HTTPS，下次仍会生成 http://。需加以下头信息：
-
proxy_set_header X-Forwarded-Proto $scheme;—— 关键！Spring Boot、Next.js、Django 等框架默认读此头决定跳转协议 -
proxy_set_header Host $host;—— 防止后端把Host解析成内网地址或 localhost -
proxy_set_header X-Forwarded-For $remote_addr;—— 辅助识别真实客户端 IP
验证是否生效
别凭感觉，用 curl -I 直接看响应头：
- 执行
curl -I https://your-domain.com/login - 检查返回的
Location:行：必须是https://your-domain.com/...，不能含http://或内网 IP - 若仍是 HTTP，重点排查：指令是否写在
proxy_pass之后、是否漏分号、正则是否匹配完整前缀（比如http://后必须跟斜杠或域名）
后端配合要点（防复发）
部分框架需显式启用代理头解析：
- Spring Boot：设
server.forward-headers-strategy=framework（或native），并确认信任 Nginx 的转发头 - Next.js：依赖
X-Forwarded-Proto，无需额外配置，但确保没硬编码http:// - PHP：检查是否用了
$_SERVER['HTTPS']或$_SERVER['HTTP_X_FORWARDED_PROTO']动态拼 URL，避免写死http://
