必须启用 proxy_ssl_server_name on 并配对 proxy_ssl_name $host;，确保 SNI 与 Host 头一致；proxy_pass 必须用域名而非 IP；CDN 场景下改用 $http_x_forwarded_host。
要让 Nginx 在反向代理多个 HTTPS 域名时不出 SNI 握手失败（比如 502、证书不匹配、SSL_do_handshake() failed），关键不是只打开 proxy_ssl_server_name on，而是让它和 proxy_ssl_name 协同工作，把客户端真实请求的域名准确传给后端。
必须启用 proxy_ssl_server_name 并配对 proxy_ssl_name
默认情况下，Nginx 和 HTTPS 后端建连时不发送 SNI 字段。即使 proxy_pass 指向的是 HTTPS 地址，后端若托管多个域名（如 tenant-a.app.com、api.b2b-saas.com），就无法选出对应证书，直接握手失败。
-
proxy_ssl_server_name on;是开关，必须显式写在location块中 - 仅开这个不够——它只决定“是否发”，不决定“发什么”
-
proxy_ssl_name $host;才是真正指定 SNI 值：取自请求 Host 头，已小写、去端口，最可靠 - 避免写死
proxy_ssl_name "api.example.com";，除非所有流量都固定指向同一域名
Host 请求头必须与 SNI 严格一致
SNI 是 TLS 层标识，Host 是 HTTP 层标识。很多后端（如 Istio、ALB、云 API 网关）会同时校验两者。不一致时可能返回 403、404 或静默丢弃请求。
CPA Update - Secure CLI Proxy API Maintenance
下载
安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。
- 加一句
proxy_set_header Host $host;，确保 HTTP 层也用相同域名 - 不要混用：
proxy_ssl_name $host;却配proxy_set_header Host $http_host;（后者可能带:443） - 若需透传原始上下文，可额外加
proxy_set_header X-Forwarded-Host $host;
proxy_pass 必须用域名，不能用 IP
如果写成 proxy_pass https://10.10.20.30/;，哪怕其他配置全对，Nginx 仍会把该 IP 当作 SNI 发送——而绝大多数多域名后端不接受 IP 作为 SNI 值，握手必败。
- 正确写法：
proxy_pass https://api.example.com/;（结尾斜杠建议保留，影响路径拼接） - 用了
upstream也不行：upstream 块里可写server api.example.com:443;，但proxy_ssl_name仍需在 location 中显式设为字符串或变量 - 禁止在
proxy_pass中使用变量（如https://$host/），Nginx 不支持 SSL SNI 解析变量
应对 CDN 或网关改写 Host 的情况
阿里云全站加速、Cloudflare 等常把回源 Host 改为源站别名（如 origin.prod.app.com），导致 $host 失真，SNI 错配。
- 在 CDN 控制台开启“透传原始 Host”，通常会注入
X-Forwarded-Host请求头 - Nginx 中改用：
proxy_ssl_name $http_x_forwarded_host; - 同时加：
proxy_set_header X-Forwarded-Host $host;，方便下游识别租户 - 若需更灵活映射（如按不同
$host分发到不同后端域名），可用map提前定义：map $host $backend_sni { hostnames; app-a.com "api.a.com"; app-b.com "api.b.com"; default "default.api.com"; }然后在 location 中写
proxy_ssl_name $backend_sni;
