Nginx反向代理多域名云存储时需启用SNI并动态设置proxy_ssl_name为$host（或透传头），同时开启proxy_ssl_verify严格校验证书，确保TLS握手使用用户原始域名匹配证书。
要让 Nginx 在反向代理到多域名云存储（如对象存储的 HTTPS 自定义域名、SaaS 文件服务网关等）时正确匹配证书，关键不是只写 proxy_ssl_name，而是让它传对值——即把用户原始请求的域名，作为 TLS 握手时的 SNI 名称发给云存储后端。否则云存储无法识别该返回哪张证书，轻则握手失败报 502，重则返回默认证书导致校验失败。
必须启用 SNI 并显式指定 SNI 值
Nginx 默认不发送 SNI，且即使开启也不自动用客户端 Host。需两步并行：
-
开启 SNI 扩展：在
location块中添加proxy_ssl_server_name on; -
设置动态 SNI 名称：用
proxy_ssl_name $host;（推荐），而非写死域名或 IP；$host是标准化后的 Host 值（小写、无端口），比$http_host更可靠
应对 CDN 或网关覆盖 Host 头的情况
若前端有 CDN（如 Cloudflare、阿里云全站加速）、API 网关或 WAF，它们回源时常会重写 Host 头为源站配置名（如 origin.example.com），导致 $host 失真：
aperture: the L402 aware reverse proxy
下载
安装并运行 Aperture（Lightning Labs 的 L402 闪电反向代理），用于创建 L402 付费墙、配置付费 API 端点、为其他代理托管付费内容或测试 L402 认证流程。
- 在 CDN 控制台开启“透传原始 Host”功能，通常对应 header 如
X-Forwarded-Host或X-Real-Host - Nginx 中改用
proxy_ssl_name $http_x_forwarded_host; - 同时加
proxy_set_header X-Forwarded-Host $host;，确保下游能读取原始域名
配合证书验证增强安全性
云存储一般提供可信证书，建议开启严格校验，避免中间人风险：
proxy_ssl_verify on;-
proxy_ssl_trusted_certificate /etc/nginx/ssl/ca-bundle.crt;（使用系统或 Mozilla 维护的根证书包） -
proxy_ssl_verify_depth 2;（覆盖常见证书链层级） - 注意：
proxy_ssl_verify启用后，proxy_ssl_name的值会用于校验证书 SAN 字段，所以必须准确
验证是否真正生效
配置写对不等于生效，需确认 SNI 值确实按预期发出：
- 在云存储侧（或可控制的测试上游 Nginx）开启 debug 日志：
error_log /var/log/nginx/error.log debug; - 发起一次请求后，搜索日志中的
client sent server name或SSL_do_handshake - 确认日志中出现的 SNI 值与用户访问的域名一致（如
files.brand-a.com），而不是固定后端地址或空值
