可行，但需显式配置SSL参数：proxy_ssl_protocols指定TLS版本，proxy_ssl_verify off可跳过证书验证（开发/内网），生产环境应设on并配proxy_ssl_trusted_certificate，proxy_ssl_server_name on支持SNI。

直接用 proxy_pass https:// 是可行的，但必须显式配置 SSL 相关参数，否则 Nginx 默认会拒绝建立 HTTPS 后端连接或校验失败。

必须启用 SSL 代理支持

Nginx 默认不验证后端 HTTPS 证书，也不发送客户端证书，所以需手动开启并控制行为：

FastAPI Flask Proxy

FastAPI + Flask 混合部署最佳实践，解决路由定义、API 代理等常见问题，适用于同时运行 FastAPI API 与 Flask 前端的场景。

下载

• 启用 SSL 代理：添加 proxy_ssl_protocols TLSv1.2 TLSv1.3;（推荐只启用安全协议）
• 跳过证书验证（开发/内网常用）：加 proxy_ssl_verify off;。注意：生产环境禁用此选项
• 启用证书验证（生产必需）：设 proxy_ssl_verify on; 并指定 CA 证书路径，如 proxy_ssl_trusted_certificate /etc/nginx/ssl/backend-ca.crt;
• 可选：指定 SNI 主机名：若后端是多域名共享 IP，需加 proxy_ssl_server_name on;，Nginx 才会在 TLS 握手时发送 SNI

基础 proxy_pass 配置示例

以下是一个安全、可运行的最小配置片段：

location /api/ {
  proxy_pass https://backend.example.com/;
  proxy_ssl_protocols TLSv1.2 TLSv1.3;
  proxy_ssl_verify off; # 内网测试可关；生产请改为 on + trusted_certificate
  proxy_ssl_server_name on;
  proxy_set_header Host $host;
  proxy_set_header X-Real-IP $remote_addr;
}

常见问题与应对

• 502 Bad Gateway：大概率是后端证书不可信（proxy_ssl_verify on 但未配 trusted_certificate），或后端服务未监听 HTTPS 端口
• SSL handshake failed：协议或加密套件不兼容，检查 proxy_ssl_protocols 和 proxy_ssl_ciphers 是否与后端匹配
• 后端收到 HTTP 请求：确认 proxy_pass 地址以 https:// 开头，不是 http://；同时检查是否误用了重写规则覆盖了 scheme
• 响应头中 Location 被改写为 HTTP：后端返回 302 重定向时，原始地址可能是 http://，可用 proxy_redirect https:// http:// 或更稳妥地在后端修复 Scheme 检测逻辑

进阶：双向 TLS（mTLS）支持

若后端要求客户端证书认证，需额外配置：

• proxy_ssl_certificate /etc/nginx/ssl/client.crt;
• proxy_ssl_certificate_key /etc/nginx/ssl/client.key;
• 确保私钥无密码，或使用 proxy_ssl_password_file 提供解密口令