要实现HTTPS回源与全链路零信任，需在http块定义upstream（如api_backend）、启用proxy_ssl并严格校验证书、proxy_pass指向https://上游、可选配置mTLS双向认证。
要通过 upstream 块配置 HTTPS 回源并支撑全链路零信任架构，核心不是只加个 https:// 前缀，而是让 Nginx 在出向连接中主动完成 TLS 握手、证书校验与双向身份确认。这要求 upstream 定义、server 块中的 proxy_pass 行为、以及 SSL 相关指令三者协同，缺一不可。
upstream 必须定义在 http 块顶层，且明确指向 HTTPS 后端地址
upstream 不能写在 server 或 location 内，必须位于 http { } 范围下。每个后端需显式使用 :443 端口，并建议带上域名（而非仅 IP），便于 SNI 扩展和证书匹配：
- 正确示例：
upstream api_backend { server api1.internal:443; server api2.internal:443; } - 避免裸 IP：若用
10.1.2.3:443，需确保 upstream 服务器证书的 SAN 字段包含该 IP，否则proxy_ssl_verify on会失败 - 命名语义化：如
auth_service、payment_gateway，方便后续日志与监控识别
启用出向 TLS 并强制验证上游证书
Nginx 默认以明文连接 upstream。要实现零信任中的“不默认信任”，必须开启并严格约束出向 TLS 行为：
-
proxy_ssl on;：启用 TLS 连接（即 Nginx 作为 TLS 客户端） -
proxy_ssl_protocols TLSv1.2 TLSv1.3;：禁用老旧协议，防止降级攻击 -
proxy_ssl_ciphers：限定高强度密套件，如ECDHE-ECDSA-AES256-GCM-SHA384 -
proxy_ssl_trusted_certificate /path/to/upstream-ca.pem;：指定你信任的上游 CA 根证书（不是上游服务器证书） -
proxy_ssl_verify on;：强制校验上游证书有效性（签名、有效期、域名/IP 匹配） -
proxy_ssl_verify_depth 2;：允许最多两级证书链（根 CA → 中间 CA → 服务器证书）
配合 proxy_pass 完成可信转发链路
upstream 只是声明，真正建立加密回源靠 proxy_pass 和配套头信息：
- location 中写：
proxy_pass https://api_backend;（注意是https://，不是http://） - 必须设置
proxy_set_header Host $host;，否则上游无法获知原始请求域名，影响虚拟主机路由和证书 SNI - 建议添加
proxy_ssl_server_name on;：启用 SNI，让 Nginx 在 TLS 握手中发送目标域名，使多域名共用 443 端口的上游能正确返回对应证书 - 健康检查建议启用：
max_fails=3 fail_timeout=30s，避免持续向已失效的 TLS 终结点发包
延伸至 mTLS：让上游也验证 Nginx 身份（双向认证）
零信任强调“双向验证”。若上游服务支持 mTLS，可进一步配置 Nginx 携带客户端证书回源：
proxy_ssl_certificate /etc/nginx/certs/nginx-client.crt;proxy_ssl_certificate_key /etc/nginx/certs/nginx-client.key;- 上游服务（如 Envoy、Nginx、或自研网关）需配置为校验该证书，并将其 CN 或 SAN 映射为服务身份（例如
nginx-edge） - 此时整个链路具备：客户端 ↔ Nginx（mTLS）、Nginx ↔ 上游（mTLS），真正实现端到端身份锚定与加密
