Nginx 层 SSL 终止可显著降低 Python 服务 CPU 压力，需配置 listen 443 ssl http2、完整证书链、明文后端转发、可信请求头透传及会话复用等安全性能参数。
直接在 Nginx 层完成 SSL 终止，让 Python 服务（如 Uvicorn、Gunicorn 或 Flask/Gunicorn 组合）只处理明文 HTTP 请求，是最有效减轻其 CPU 压力的方式。Python 的 TLS 栈性能远不如 Nginx（基于 OpenSSL 的 C 实现），尤其在高并发握手场景下，CPU 往往最先打满。
前端监听与证书加载必须规范
Nginx 要真正承担解密职责，不能只写 listen 443，必须明确启用 SSL 和 HTTP/2：
- 使用
listen 443 ssl http2;—— HTTP/2 显著提升吞吐，且现代浏览器默认要求 TLS - 证书路径指向完整链路：
ssl_certificate /etc/letsencrypt/live/yourdomain.com/fullchain.pem;（含中间 CA），不是仅域名证书 - 私钥权限设为
600，且属主为 nginx 运行用户（如www-data或nginx） - 推荐用 Let’s Encrypt + Certbot 自动获取和续期：
sudo certbot --nginx -d yourdomain.com
后端转发必须走明文 HTTP
这是卸载生效的前提：Python 服务无需开启 HTTPS，也不应监听 443 端口。
- Uvicorn 启动时只监听 HTTP，例如：
uvicorn main:app --host 127.0.0.1 --port 8000 - Nginx 中
proxy_pass必须以http://开头，例如：proxy_pass http://python_backend; -
upstream python_backend { server 127.0.0.1:8000; }—— 地址和端口对应 Python 实际监听的 HTTP 端口 - 健康检查也要用 HTTP：
location /health { proxy_pass http://python_backend/health; }
关键请求头必须透传且可信
Python 应用依赖这些头判断协议、生成安全链接或记录真实 IP，但不能无条件信任外部输入。
立即学习“Python免费学习笔记（深入）”；
-
proxy_set_header X-Forwarded-Proto $scheme;—— 让 Flask/FastAPI 知道原始是 HTTPS -
proxy_set_header X-Real-IP $remote_addr;+set_real_ip_from 127.0.0.1;—— 仅信任本地反向代理，防止伪造 IP -
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;—— 追加式传递，保留原始链路 - 在 Python 框架中启用信任代理设置，例如 FastAPI 的
trusted_hosts=["127.0.0.1"]，Flask 可用ProxyFix中间件
性能与安全参数必须显式调优
默认配置无法应对生产级 TLS 流量，以下几项直接影响解密效率和连接复用率：
- 会话复用：
ssl_session_cache shared:SSL:10m;+ssl_session_timeout 4h;—— 减少 70%+ 握手开销 - 协议与套件：
ssl_protocols TLSv1.2 TLSv1.3;，禁用 TLSv1.0/1.1；优先选ECDHE-ECDSA-AES128-GCM-SHA256类前向保密套件 - OCSP Stapling：
ssl_stapling on;+ssl_stapling_verify on;—— 加速证书状态验证 - HSTS 强制 HTTPS：
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
