如何通过Nginx重定向策略，将旧版HTTP敏感页面完全转向至安全页面？

本文共计720个文字，预计阅读时间需要3分钟。

要彻底消失旧的HTTP敏感页面并安全落地，不能仅靠前端跳转或JS重定向，必须在Nginx层做服务端强制重定向——既阻断明文访问路径，又确保用户和爬虫都无法感知，实现HTTPS安全页面。

精准匹配敏感路径，避免全局误伤

不要对整个域名做 80→443 全量跳转就完事。针对 /admin、/login、/api/v1/user 等明确的敏感路径，单独配置 location 块，用 return 301 精确重定向到对应 HTTPS 地址：

• server { listen 80; server_name example.com;}
• location ^~ /admin/ { return 301 https://$host$request_uri; }
• location = /login { return 301 https://$host/login; }
• location ~ ^/api/v1/user { return 301 https://$host$request_uri; }

注意：使用 ^~ 前缀可优先匹配前缀路径，= 实现绝对路径精确匹配，~ 支持正则，避免被通用规则覆盖。

强制 HTTPS + 清除不安全上下文

仅跳转还不够。若原 HTTP 页面曾加载过混合内容（如 http:// 的图片、脚本），浏览器可能仍保留不安全上下文。需配合响应头清除风险：

• 在 HTTPS 的 server 块中添加：add_header Content-Security-Policy "upgrade-insecure-requests;"，自动将页面内所有 http:// 资源请求升级为 https://
• 设置：add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload";，告诉浏览器未来一年内只通过 HTTPS 访问该域及其子域
• 禁用不安全的 referrer 泄露：add_header Referrer-Policy "no-referrer-when-downgrade";

屏蔽残留 HTTP 入口，防止绕过

有些旧链接可能藏在第三方页面、书签或爬虫缓存里。为防直接访问 HTTP 敏感页，可在 80 端口 server 块中对已下线路径返回 404 或 410（已永久删除）：

• location ^~ /legacy-api/ { return 410; }
• location ~ \.(bak|swp|log)$ { deny all; }
• location /old-admin/ { return 404; }

比单纯跳转更进一步——不是“带你走”，而是“这里已不存在”，从语义和 SEO 层面彻底切断旧路径的生命周期。

验证与兜底机制

上线后务必验证三类行为是否符合预期：

• curl -I http://example.com/login → 应返回 301 + Location: https://...
• curl -k -I https://example.com/admin/ → 响应头中应含 HSTS、CSP、X-Frame-Options 等安全头
• 尝试直接访问 http://example.com/old-api/v1 → 应返回 410 或 404，而非 301 跳转

建议在日志中单独记录所有 80 端口对敏感路径的访问（access_log /var/log/nginx/http_sensitive.log），持续监控一周，确认无遗漏或异常流量。