HTTPS流量劫持在Nginx中极少发生，因其TLS加密和证书验证机制天然防篡改；需防范的是配置不当导致的“伪劫持”，如HTTP跳转漏洞、后端Location头透传、Host头伪造等。
HTTPS 流量劫持在 Nginx 环境中实际极少发生——因为 HTTPS 本身通过 TLS 加密和证书验证机制，天然抵御中间人篡改和窃听。真正需要防范的，是 因配置不当导致的“伪劫持”风险：比如用户访问 http://example.com 却被跳转到恶意域名、后端返回的 Location 头被透传到攻击者控制的地址、或客户端伪造 Host 头诱导 Nginx 生成错误跳转链接。这些不是 TLS 层被攻破，而是应用层重定向逻辑失控。
堵住 HTTP → HTTPS 跳转漏洞
这是最常见风险入口。很多配置写成：
return 301 https://$host$request_uri;
但 $host 来自客户端请求头，可被任意修改（如 curl -H "Host: evil.com" http://yoursite.com）。正确做法是：
- 单域名站点：直接写死可信域名，例如 return 301 https://www.example.com$request_uri;
- 多域名支持：用 $server_name（来自 server_name 指令，不可伪造），例如 return 301 https://$server_name$request_uri;
- 必须启用 default_server：对未匹配任何 server_name 的请求，立即 return 444 或 403，不参与任何跳转逻辑
拦截后端返回的危险重定向响应
当 Nginx 作为反向代理时，若后端（如 PHP/Node.js 应用）返回 Location: http://attacker.com/login，而 Nginx 未处理就透传给用户，就会造成“跳转劫持”。应主动干预：
- 强制重写 Location 响应头：proxy_redirect ~^http://[^/]+(.*)$ https://$server_name$1;
- 禁止透传原始 Host：proxy_set_header Host $proxy_host; 或固定为后端可信域名
- 必要时隐藏 Location 头：proxy_hide_header Location;（需确认业务不依赖该头跳转）
加固 TLS 层与传输链路
虽然劫持难发生在加密通道内，但弱配置会降低整体防御水位：
- 禁用不安全协议和密码套件，例如在 ssl_protocols 和 ssl_ciphers 中排除 SSLv3、TLSv1.0 及 EXPORT/RC4 等
- 启用 HSTS（Strict-Transport-Security）头，强制浏览器后续只走 HTTPS：add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
- 确保证书由可信 CA 签发，且域名完全匹配（包括通配符覆盖范围），避免因证书校验失败导致降级到 HTTP
关闭信息泄露，减少攻击面
暴露版本、服务器类型、后端技术等细节，虽不直接导致劫持，但会帮攻击者精准选择利用路径：
- 隐藏 Nginx 版本：server_tokens off;
- 移除或覆盖 X-Powered-By 等敏感响应头
- 限制 HTTP 方法，禁用 TRACE/PUT/DELETE：if ($request_method !~ ^(GET|HEAD|POST|OPTIONS)$) { return 405; }
