proxy_redirect default 不总是可靠，因其仅匹配完全一致的前缀且对协议、端口、斜杠敏感，易导致内网ip泄露；应改用显式正则重写并配合x-forwarded-proto等头部传递。
很多人以为 proxy_redirect default 是“最安全、最省心”的写法，结果上线后用户跳转直接打到内网 IP，页面 404，登录流程中断——这恰恰是因为 default 模式在特定配置下会失效或误匹配，把本该重写的 Location 头原样透传出去。
为什么 default 不总是可靠
proxy_redirect default 的逻辑是：根据 proxy_pass 的目标地址和当前 location 路径，自动推导出替换规则。但它只匹配完全一致的前缀，且对协议、端口、斜杠细节极其敏感。
- 若
proxy_pass http://192.168.1.100:8080/api/（结尾有斜杠），但后端返回Location: http://192.168.1.100:8080/login（路径不带/api/前缀），default就不会触发重写 - 若
proxy_pass写成http://backend（upstream 名），而 upstream 实际指向192.168.1.100:8080，default无法解析真实 IP，大概率不生效 - HTTPS 场景下，后端若生成
http://开头的 Location，default默认只处理与proxy_pass协议一致的跳转，不会自动升为 HTTPS
更稳妥的替代方案
放弃依赖自动推导，显式控制重写行为，能避免绝大多数意外泄露。
CPA Update - Secure CLI Proxy API Maintenance
下载
安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。
- 用正则精确匹配内网地址：
proxy_redirect ~^http://\d+\.\d+\.\d+\.\d+:\d+/(.*)$ https://$host/$1; - 强制统一协议 + 域名：
proxy_redirect http:// https://; proxy_redirect ~^http://[^/]+/(.*)$ /$1; - 若路径有固定前缀（如代理到
/order-service/），手动指定映射：proxy_redirect http://192.168.1.100:8080/ /order-service/;
必须同步检查的配套配置
proxy_redirect 不是孤立生效的，它依赖上游服务正确识别客户端原始请求上下文。
- 确保传递
X-Forwarded-Proto $scheme，否则后端可能固执地生成 HTTP 跳转 - 设置
proxy_set_header Host $host，让后端生成的相对跳转（如/login）也能被 Nginx 正确补全为完整 URL - 禁用
proxy_redirect off—— 这个开关一旦打开，所有重写逻辑都会被绕过，风险比不用还大
别让“默认”成为甩手掌柜。一次明确的正则替换，胜过十次靠运气的 default。
