如何配置Nginx避免反向代理应用因Scheme识别错误引发的重定向死循环问题？

本文共计865个文字，预计阅读时间需要4分钟。

典型表现是：

根本原因不是 Nginx 自己跳转，而是后端依赖 X-Forwarded-Proto 判断协议，而该头默认不自动传递。

• proxy_set_header X-Forwarded-Proto $scheme; 必须显式配置，且放在 location 块内、proxy_pass 之前
• 若 Nginx 本身监听多个端口（如 80 + 443），$scheme 会动态取值（http 或 https），无需硬编码
• Spring Boot 用户需额外启用 server.forward-headers-strategy=framework，否则忽略该头
• Django 用户需设置 SECURE_PROXY_SSL_HEADER = ('HTTP_X_FORWARDED_PROTO', 'https')

proxy_redirect 没生效？检查匹配顺序和协议一致性

proxy_redirect 不是“全局替换”，它按规则逐条匹配响应头中的 Location 值。常见失效场景是：后端返回了 https://localhost:3000/，但你只写了 proxy_redirect http://localhost:3000/ https://example.com/; —— 协议不匹配，规则跳过。

• 必须为每种可能的协议+主机组合单独写一条：proxy_redirect http://localhost:3000/ https://example.com/;、proxy_redirect https://localhost:3000/ https://example.com/;、proxy_redirect http://127.0.0.1:3000/ https://example.com/;
• 正则形式更鲁棒：proxy_redirect ~^https?://[^/]+(/.*)$ https://example.com$1;，但注意它不能处理带 query 的重定向（? 后内容会被截断）
• proxy_redirect 必须写在 proxy_pass 之后，否则 Nginx 会忽略

Flask / Gunicorn 场景下 Host 头污染引发循环

当 Flask 应用开启 DEBUG=True 或使用 Werkzeug 开发服务器时，它可能根据 Host 头自动生成跳转 URL。若 Nginx 把原始 Host（如 example.com）直接透传给后端，而应用又没做反向代理适配，就可能生成错误跳转。

• 务必配置：proxy_set_header Host $host;（不是 $http_host），确保后端看到的是客户端请求的域名
• 禁用 Flask 的自动重定向修正（如有）：app.config['PREFERRED_URL_SCHEME'] = 'https'，配合 X-Forwarded-Proto 使用
• Gunicorn 启动时加 --forwarded-allow-ips="*"，否则它会丢弃所有 X-Forwarded-* 头

SPA 路由兜底与重定向共存时的路径冲突

单页应用（如 React Router、Vue Router）常用 try_files $uri $uri/ /index.html; 实现前端路由。但如果后端返回 302 到 /login，而该路径本身又命中 location / 的 try_files 规则，就可能触发内部重定向循环（报错 rewrite or internal redirection cycle）。

• 避免把 try_files 和 proxy_pass 混在同一 location：静态资源走 try_files，API 和跳转路径走 proxy_pass
• 明确分离规则，例如：location ^~ /api/ { proxy_pass http://backend; }、location / { try_files $uri $uri/ /index.html; }
• 若后端跳转目标是 /login 这类前端路由，确保它返回的是相对路径，而非绝对 URL；否则需用 proxy_redirect 统一改写

最易被忽略的一点：所有 X-Forwarded-* 头必须由 Nginx 显式注入，后端不会“猜”；而 proxy_redirect 的匹配是严格字符串/正则匹配，少一条协议变体就漏掉一次重写。