nginx 用 proxy_redirect 替换后端返回的私网 location 地址，并透传 host、x-forwarded-proto 等请求头，可使浏览器正确跳转公网地址；需结合 curl -i 验证响应头，按绝对 url、相对路径、协议升级等类型配置对应规则，且 proxy_redirect 必须与 proxy_pass 同级并置于其后。
直接在 Nginx 的 location 块里用 proxy_redirect 替换掉私网地址，再配合透传关键请求头，就能让浏览器跳转到正确的公网地址。
先确认后端实际返回的 Location 是什么
别靠猜测，用 curl -I 看真实响应头：
curl -I https://your-domain.com/login- 重点检查返回中 Location: 这一行，常见类型有：
-
Location: http://10.0.2.5:8080/dashboard—— 绝对 URL，含私网 IP 和端口 -
Location: /profile—— 相对路径，Nginx 默认可处理，但子路径代理时需补前缀 -
Location: http://app.example.com/callback—— 协议是 HTTP，而用户走的是 HTTPS，需强制升级
-
按类型写对 proxy_redirect 规则
该指令必须和 proxy_pass 同级、写在它之后，且只对 301/302/307/308 生效：
- 替换固定私网地址（最常用）：
proxy_redirect http://10.0.2.5:8080/ $scheme://$host/;
注意末尾斜杠必须完全一致，http://10.0.2.5:8080≠http://10.0.2.5:8080/ - 统一升级协议（防 HTTPS 降级）：
proxy_redirect http:// https://; - 处理子路径代理（如
location /admin/）：proxy_redirect / /admin/;
把后端返回的/login改成/admin/login - 动态匹配任意内网地址（Nginx ≥ 1.11.8）：
proxy_redirect ~^http://[^/]+(/.*)$ $scheme://$host$1;
同步透传 Host 和协议信息给后端
只改 Location 是临时修复；后端若持续生成私网地址，问题会反复。必须加上：
-
proxy_set_header Host $host;—— 让后端知道用户访问的是哪个域名 -
proxy_set_header X-Forwarded-Proto $scheme;—— 告诉后端当前是 HTTP 还是 HTTPS，Spring Boot、Next.js 等框架依赖它生成正确跳转链接 -
proxy_set_header X-Real-IP $remote_addr;和X-Forwarded-For $proxy_add_x_forwarded_for;—— 辅助后端记录真实客户端 IP
验证是否生效
修改配置后重载 Nginx（nginx -s reload），再执行：
-
curl -I https://your-domain.com/login—— 检查响应头中 Location: 是否已是公网地址、协议正确、无内网 IP - 开启调试日志：
error_log /var/log/nginx/error.log info;—— 日志中会出现proxy redirect相关记录，确认规则是否命中
