必须在Nginx层对/admin、/login等敏感路径精准配置301重定向至HTTPS，并添加HSTS、CSP等安全响应头，同时对已下线路径返回410或404，杜绝HTTP明文访问。
要让旧的 HTTP 敏感页面真正“消失”并安全落地，不能只靠前端跳转或 JS 重定向，必须在 Nginx 层做服务端强制映射——既阻断明文访问路径，又确保用户和爬虫都无感知地抵达 HTTPS 安全页。
精准匹配敏感路径，避免全局误伤
不要对整个域名做 80→443 全量跳转就完事。针对 /admin、/login、/api/v1/user 等明确的敏感路径，单独配置 location 块，用 return 301 精确重定向到对应 HTTPS 地址：
- server { listen 80; server_name example.com;}
- location ^~ /admin/ { return 301 https://$host$request_uri; }
- location = /login { return 301 https://$host/login; }
- location ~ ^/api/v1/user { return 301 https://$host$request_uri; }
注意：使用 ^~ 前缀可优先匹配前缀路径，= 实现绝对路径精确匹配，~ 支持正则，避免被通用规则覆盖。
强制 HTTPS + 清除不安全上下文
仅跳转还不够。若原 HTTP 页面曾加载过混合内容（如 http:// 的图片、脚本），浏览器可能仍保留不安全上下文。需配合响应头清除风险：
- 在 HTTPS 的 server 块中添加：add_header Content-Security-Policy "upgrade-insecure-requests;"，自动将页面内所有 http:// 资源请求升级为 https://
- 设置：add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload";，告诉浏览器未来一年内只通过 HTTPS 访问该域及其子域
- 禁用不安全的 referrer 泄露：add_header Referrer-Policy "no-referrer-when-downgrade";
屏蔽残留 HTTP 入口，防止绕过
有些旧链接可能藏在第三方页面、书签或爬虫缓存里。为防直接访问 HTTP 敏感页，可在 80 端口 server 块中对已下线路径返回 404 或 410（已永久删除）：
- location ^~ /legacy-api/ { return 410; }
- location ~ \.(bak|swp|log)$ { deny all; }
- location /old-admin/ { return 404; }
比单纯跳转更进一步——不是“带你走”，而是“这里已不存在”，从语义和 SEO 层面彻底切断旧路径的生命周期。
验证与兜底机制
上线后务必验证三类行为是否符合预期：
- curl -I http://example.com/login → 应返回 301 + Location: https://...
- curl -k -I https://example.com/admin/ → 响应头中应含 HSTS、CSP、X-Frame-Options 等安全头
- 尝试直接访问 http://example.com/old-api/v1 → 应返回 410 或 404，而非 301 跳转
建议在日志中单独记录所有 80 端口对敏感路径的访问（access_log /var/log/nginx/http_sensitive.log），持续监控一周，确认无遗漏或异常流量。
