浏览器因HSTS缓存主动拦截HTTP请求，导致Nginx无日志、无301跳转；需通过chrome://net-internals/#hsts查询/删除策略，检查并移除Nginx或后端返回的Strict-Transport-Security头，本地开发慎用非localhost域名及自签名证书。
这个问题不是 Nginx 拒绝 HTTP，而是浏览器记住了 HSTS 策略后主动拦截 HTTP 请求——请求根本没发出去，所以你查不到 Nginx 的任何日志，也看不到 301 跳转。
一、确认浏览器是否已缓存 HSTS 策略
在 Chrome 或 Edge 地址栏输入：
chrome://net-internals/#hsts
在下方 “Query domain” 输入你的本地开发域名（如 localhost:8080、dev.test.local 或实际使用的域名），点击 “Query”。
若显示 Found，说明浏览器强制 HTTPS 已生效；若为 Not found，问题不在 HSTS，需检查 rewrite 规则或代理配置。
二、检查 Nginx 是否仍在返回 Strict-Transport-Security 头
即使你改过配置，旧头可能仍被透传。执行命令验证真实响应：
- curl -I https://dev.test.local（替换为你的 HTTPS 地址）
- 观察输出中是否含 Strict-Transport-Security: 字样
- 若存在，检查 Nginx 配置：
• server 或 http 块里是否有add_header Strict-Transport-Security ...
• 若用 Nginx Proxy Manager，进对应主机 → SSL → 取消勾选 “Force HTTPS” 或检查高级设置
• 若是反向代理，确认后端（如 Node.js/Spring Boot）没自己返回 HSTS —— 此时应在 location 块加：proxy_hide_header Strict-Transport-Security;
三、彻底停用并清除 HSTS 影响
只改 Nginx 不够，浏览器缓存会持续生效：
- 在 Nginx 配置中，将 HSTS 行改为：
add_header Strict-Transport-Security "max-age=0; includeSubDomains" always;
然后运行sudo nginx -t && sudo systemctl reload nginx - 回到 chrome://net-internals/#hsts，在 “Delete domain security policies” 输入相同域名，点 “Delete”
- 立即用无痕窗口访问 http://dev.test.local 测试——无痕模式不继承 HSTS 缓存，结果最可信
四、特别注意本地开发的常见陷阱
• localhost 不受 HSTS 约束：Chrome 明确豁免 localhost，所以如果你用的是纯 localhost（无端口、无子域），HSTS 不会生效；但像 dev.localhost 或 test.local 就会被记录。
• 自签名证书 + HSTS = 直接失败：若本地 HTTPS 使用自签证书且启用了 HSTS，浏览器可能因证书错误拒绝加载，连 HSTS 查询都进不去——先确保证书可信或临时禁用 HSTS 再调试。
• 别依赖浏览器地址栏自动补全：输入 dev.test.local 时，Chrome 可能默认补成 https://，建议手动敲完整 http:// 开头。
