https强制跳转必须在cdn层完成，避免源站nginx跳转导致回源闭环；应开启cdn“http自动跳转https”功能、关闭源站重定向、配置回源协议为https，并信任x-forwarded-proto头以确保应用正确识别协议。

HTTPS 强制跳转必须在 CDN 层完成

用户访问 http://example.com 时，如果跳转逻辑放在 Nginx（源站）上，会出现回源闭环问题：CDN 收到 HTTP 请求 → 转发给源站 → 源站返回 301 到 HTTPS → CDN 再次用 HTTP 请求源站的 HTTPS 地址（或直接报错），导致跳转失败、循环重定向、SSL 握手异常等。根本原因是 CDN 默认以 HTTP 协议回源，而源站又要求 HTTPS 访问，形成死锁。

CDN 控制台开启「HTTP 自动跳转 HTTPS」开关

主流 CDN（如阿里云 DCDN、腾讯云 CDN、Cloudflare、又拍云等）都提供「强制 HTTPS」或「HTTP 自动跳转 HTTPS」功能，本质是 CDN 边缘节点收到 HTTP 请求后，**不回源**，直接返回 301/302 到对应 HTTPS 地址（如 https://example.com$request_uri）。这是最安全、最高效的做法。

• 确保该功能开启，并检查是否支持保留原始 URI（即跳转时带路径和参数）
• 关闭源站 Nginx 的 HTTP → HTTPS 重定向配置（如 return 301 https://$host$request_uri;），避免干扰
• 确认 CDN 回源协议设为 HTTPS（尤其当源站只监听 HTTPS 443 端口时）

Nginx 配置仅处理「已到达源站的 HTTPS 请求」

CDN 完成跳转后，所有到达 Nginx 的请求已是 HTTPS，此时 Nginx 只需专注业务逻辑，无需再做协议判断。但要注意：CDN 通常通过 X-Forwarded-Proto 或 X-Forwarded-For 传递原始协议信息，Nginx 必须信任这些头，否则 PHP/Node.js 等应用可能误判为 HTTP，生成错误的链接或重定向。

• 在 server 块中添加：set $real_scheme $http_x_forwarded_proto;，并在 location 中用 $real_scheme 替代 $scheme
• 若使用 fastcgi，需透传头：fastcgi_param HTTPS on;（当 $http_x_forwarded_proto = "https" 时）
• 检查 Laravel、WordPress 等框架是否启用了「强制 HTTPS」中间件——应关闭，交由 CDN 统一管控

验证闭环是否真正打通

用 curl 模拟真实链路，分三步验证：

• curl -I http://example.com → 应返回 301 Moved Permanently，Location 为 https://example.com/，且 无回源日志（Nginx access.log 不出现该请求）
• curl -I https://example.com → 返回 200，Header 中 X-Cache: HIT（或类似 CDN 命中标记）
• 浏览器打开 http://example.com，地址栏应秒变 https，开发者工具 Network 标签中只有 1 次 301 + 1 次 200，无多次跳转或混合内容警告