HTTPS重定向请求头处理需从入口判断、头透传、响应修正、兜底防御四环节协同设计：用$server_name或白名单校验替代不可信$host，透传X-Forwarded-Proto和Host头，proxy_redirect或map修正Location，default_server+正则白名单拦截非法Host。
优化 HTTPS 重定向后的请求头处理，关键在于确保客户端原始协议、主机、路径等上下文不被丢失或污染，同时避免因头信息错传引发的跳转降级、Host 注入、后端 URL 错误等问题。这不是单纯加几行 proxy_set_header 就能解决的事，而是要从入口判断、头透传、响应修正、兜底防御四个环节协同设计。
确保重定向逻辑本身不引入 Host 风险
HTTP → HTTPS 跳转若写成 return 301 https://$host$request_uri;，$host 来自客户端请求头，可被任意篡改。应改用可信来源：
- 单域名场景：直接写死，如
return 301 https://example.com$request_uri; - 多域名支持：用
$server_name（配置中显式声明的合法域名），如return 301 https://$server_name$request_uri; - 需动态匹配时：配合白名单 if 判断，不匹配则 return 403，不跳转
向后端正确透传协议与主机信息
HTTPS 请求经 Nginx 代理到后端 HTTP 服务时，后端常因无法识别真实上下文而生成 http:// 开头的 Location 或错误 URL：
- 必须设置
proxy_set_header X-Forwarded-Proto $scheme;，让后端知道原始是 HTTPS - 用
proxy_set_header Host $host;或更稳妥的proxy_set_header Host $server_name;，避免 $http_host 带 :443 端口 - 若后端依赖 X-Forwarded-Host，也加上
proxy_set_header X-Forwarded-Host $host;
主动修正后端返回的 Location 响应头
即使头透传到位，后端仍可能硬编码返回 Location: http://internal-ip:8080/xxx 或 Location: http://example.com/xxx，导致跳转失败或降级：
- 用
proxy_redirect http:// https://;简单替换协议前缀（适用于固定域名） - 更灵活的方式：结合 map 指令动态清洗，例如匹配
~^http://(.*)并重写为https://$1 - 若需彻底控制跳转地址，可用
more_set_headers "Location: https://$server_name$1";（需 headers-more 模块）
启用 default_server + 白名单拦截非法 Host 请求
仅靠重定向和 proxy_pass 配置无法防御恶意 Host 头攻击。必须在协议入口层设防：
- 为每个 listen 指令添加
default_server，捕获未匹配 server_name 的请求 - 在 default_server 块中，对 $host 做正则白名单校验，不匹配直接
return 444;（关闭连接）或return 403; - 避免使用
if ($host != ...)这类宽松判断，防止绕过
