Nginx通过proxy_pass访问HTTPS后端时，必须启用proxy_ssl_verify并配置proxy_ssl_trusted_certificate以验证上游证书，否则易出现502或SSL协议错误；同时需正确设置proxy_ssl_protocols、proxy_ssl_ciphers及超时参数确保安全与性能。
要让 Nginx 通过 proxy_pass 安全地访问 HTTPS 后端，关键不是只改 URL 为 https://，而是必须显式配置 SSL 验证与证书信任链。否则容易出现 502 Bad Gateway 或 ERR_SSL_PROTOCOL_ERROR 等错误。
proxy_pass 指向 HTTPS 后端的基础写法
只需把 proxy_pass 的目标地址写成 https:// 开头即可，但前提是后端服务已启用 HTTPS 并监听对应端口：
proxy_pass https://backend.example.com:8443;- 若使用 upstream 块，server 地址也应含端口且协议隐含在
proxy_pass中，例如：upstream backend { server backend.example.com:8443; }，再配合proxy_pass https://backend; - 避免写
localhost——DNS 解析可能引入延迟或失败；建议用 IP 或确保 DNS 可靠
必须开启的 SSL 验证相关指令
Nginx 默认不校验上游证书，生产环境必须主动启用并指定信任根：
FastAPI Flask Proxy
下载
FastAPI + Flask 混合部署最佳实践，解决路由定义、API 代理等常见问题，适用于同时运行 FastAPI API 与 Flask 前端的场景。
-
proxy_ssl_verify on;—— 启用对后端服务器证书的验证（默认 off，不验证则失去身份确认能力） -
proxy_ssl_trusted_certificate /etc/nginx/ssl/upstream-ca.pem;—— 提供用于验证后端证书的 CA 根证书（PEM 格式），自签名或私有 CA 必须包含在此文件中 -
proxy_ssl_verify_depth 2;—— 若后端证书链较长（含中间 CA），可适当调高，默认 1 通常够用
客户端证书（双向 TLS）配置
当后端要求 Nginx 提供身份证明时，需配置客户端证书：
-
proxy_ssl_certificate /etc/nginx/ssl/client.crt;—— PEM 格式证书文件，含完整证书链（不含私钥） -
proxy_ssl_certificate_key /etc/nginx/ssl/client.key;—— 对应私钥，权限建议设为600 - 注意：证书和私钥路径需真实存在，Nginx 主进程需有读取权限
连接与协议安全加固
HTTPS 代理涉及握手开销，需兼顾安全性与性能：
-
proxy_ssl_protocols TLSv1.2 TLSv1.3;—— 明确限定协议版本，禁用已淘汰的 TLSv1.0/TLSv1.1 和 SSLv3 -
proxy_ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;—— 指定强加密套件（可选，非必需但推荐） -
proxy_ssl_session_reuse on;—— 复用 SSL 会话，减少重复握手开销，提升吞吐量 - 超时参数建议同步调整：
proxy_connect_timeout 60s;、proxy_read_timeout 120s;、proxy_send_timeout 120s;
