proxy_redirect专门用于重写后端返回的Location和Refresh响应头，解决内网地址、路径缺失或协议错误导致的跳转失败问题，必须配置在与proxy_pass同级的location块中。
proxy_redirect 专门用来改后端返回的 Location 和 Refresh 响应头，不是处理请求路径，也不影响请求头或转发逻辑。它只在后端发回重定向响应时起作用，把内网地址、错误路径或相对跳转替换成用户能访问的公网地址。
什么时候必须配 proxy_redirect
后端自己生成跳转地址，但没考虑代理层，常见于：
- Spring Boot 返回
Location: http://192.168.1.100:8080/dashboard（内网地址） - PHP 返回
Location: /login，而 Nginx 配了location /api/ { proxy_pass http://backend/; }，结果跳到https://example.com/login（丢了/api/上下文） - Node.js 返回
Location: //app.example.com/home（协议相对），浏览器可能误用 HTTP
基础配置写法与匹配规则
语法是 proxy_redirect old_url new_url;，old_url 必须严格匹配响应头中的原始值（支持正则和变量），new_url 是要替换成的地址。常用组合：
- 替换内网地址为域名：
proxy_redirect http://192.168.1.100:8080/ https://app.example.com/; - 修复路径前缀缺失：
proxy_redirect / /api/;（把后端返回的Location: /login改成/api/login） - 统一协议和主机：
proxy_redirect ~^http://[^/]+(.*)$ https://app.example.com$1;（正则捕获路径部分）
注意：proxy_redirect 必须写在和 proxy_pass 同一个 location 块里，否则不生效。
CPA Update - Secure CLI Proxy API Maintenance
下载
安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。
配合 proxy_pass 路径规则理解替换逻辑
proxy_redirect 的行为受 proxy_pass 结尾斜杠影响：
- 如果
proxy_pass http://backend/;（带尾部/），Nginx 默认会把后端返回的Location: /v1/user当作相对于根路径处理，此时proxy_redirect / /api/;才能正确补上前缀 - 如果
proxy_pass http://backend;（不带/），Nginx 会把原始 URI 完整拼过去，proxy_redirect匹配目标也要对应调整，比如匹配http://backend/v1/user
简单说：先理清 proxy_pass 怎么转发路径，再决定 proxy_redirect 要匹配哪一段原始响应值。
调试与验证方法
直接看浏览器跳转是否正常最直观，但排查问题建议用命令行：
- 用
curl -I https://app.example.com/some-path查看实际返回的Location头 - 在 Nginx 配置中临时加
error_log /var/log/nginx/debug.log notice;，并启用proxy_redirect的 debug 级日志（需编译时开启） - 后端加个测试接口，主动返回
Location: /test-redirect，观察最终跳转地址是否符合预期
