HTTPS重定向失败主因是Cloudflare与Nginx加密模式及跳转逻辑不匹配，典型表现为ERR_TOO_MANY_REDIRECTS；应选Full (Strict)模式、禁用Flexible，Nginx 80端口跳转需校验$http_x_forwarded_proto并硬编码域名，同时清除HSTS缓存、校准X-Forwarded-Proto头。
Cloudflare 和 Nginx 协同工作时，HTTPS 重定向出问题，90% 是因为两端的加密模式与跳转逻辑没对齐。最典型的表现就是“ERR_TOO_MANY_REDIRECTS”，页面打不开、浏览器反复跳转、甚至跳到带 %2A 的奇怪地址——这不是证书错，也不是 Nginx 写错了，而是请求在 Cloudflare 和你的服务器之间“来回踢皮球”。
Cloudflare 的 SSL/TLS 模式必须匹配后端能力
这是最关键的一环。Cloudflare 提供三种模式，选错就会触发循环：
-
Flexible（灵活）：Cloudflare 到用户走 HTTPS，但 Cloudflare 到你的服务器走 HTTP。如果你的 Nginx 配了
return 301 https://...（强制跳 HTTPS），它就会收到来自 Cloudflare 的 HTTP 请求 → 立刻 301 跳 HTTPS → Cloudflare 再发 HTTP 请求过来 → 循环开始。 - Full（完全）：Cloudflare 到用户、Cloudflare 到服务器都走 HTTPS，但不验证你服务器证书是否有效（比如用自签名或过期证书也能过）。
- Full (Strict)（完全严格）：要求你服务器必须有合法、未过期、域名匹配的 HTTPS 证书（如 Let's Encrypt）。这是推荐模式，前提是你的 Nginx 已正确配置 443 端口和证书。
✅ 正确做法：确认你的 Nginx 已部署有效证书并监听 443，就在 Cloudflare 控制台 → SSL/TLS → Overview 中选择 Full (Strict)。别用 Flexible，除非你明确不配服务器 HTTPS。
Nginx 的 80 端口跳转规则要防“代理穿透”
很多人直接写：
server {listen 80;
server_name example.com;
return 301 https://$server_name$request_uri;
}
这在直连时没问题，但 Cloudflare 代理流量时，它可能用 IP 或内部域名访问你服务器（尤其当 DNS 解析异常或测试时），导致 $server_name 变成 * 或空值，跳转地址就变成 https://%2A.example.com/ 这类非法 URL。
✅ 更安全的写法是硬编码目标域名，并加条件判断：
server {listen 80;
server_name example.com www.example.com;
if ($http_x_forwarded_proto = "http") {
return 301 https://example.com$request_uri;
}
# 如果没走 Cloudflare（直连），也跳
return 301 https://example.com$request_uri;
}
其中 $http_x_forwarded_proto 是 Cloudflare 透传的协议头（值为 https 或 http），可作为是否经代理的依据。
别忽略浏览器缓存和 HSTS 的“惯性跳转”
即使你删掉了 Nginx 的跳转配置、改好了 Cloudflare 设置，Chrome 等浏览器仍可能因之前收到过 301 响应而“记住跳转”，后续请求自动跳，根本不到服务器。
✅ 快速验证方法：
- 换一个浏览器（如 Firefox）或隐身窗口访问；
- 在 Chrome 地址栏输入
chrome://net-internals/#hsts，删除对应域名的 HSTS 记录； - 用
curl -I http://example.com直接看响应头，绕过浏览器缓存干扰。
额外检查点：证书与 Header 一致性
Cloudflare 默认会添加 X-Forwarded-Proto: https 和 X-Forwarded-For 头。如果你的 Nginx 应用（比如 PHP、Node.js 后端）依赖这些头生成 URL（如登录回调地址），却没配置信任 Cloudflare 的源 IP，就可能误判协议，再次触发跳转。
✅ 在 Nginx 的 location 块中加入：
proxy_set_header X-Forwarded-For $remote_addr;
同时确保 set_real_ip_from 正确配置 Cloudflare 的 IP 段（官方列表可查），否则 $remote_addr 会是 Cloudflare 的出口 IP，而非真实用户 IP。
