https通过tls协议内置数据完整性保护，nginx只需正确配置tlsv1.2+、aead加密套件及hsts等策略，即可由底层ssl库自动保障传输数据不被篡改，无需额外手动校验。
HTTPS 本身已内置数据完整性保护机制，Nginx 作为 TLS 终止点，不需额外配置即可保障传输中数据不被篡改。关键在于正确启用现代 TLS 协议和强加密套件，让底层 SSL/TLS 层自动完成校验。
理解 TLS 如何保证数据完整性
TLS 在加密传输过程中，对每个数据记录（record）都附加消息认证码（MAC）或使用 AEAD（如 AES-GCM、ChaCha20-Poly1305）加密模式。这些机制在解密时强制验证数据是否被中途修改——哪怕只改动一个字节，解密也会失败，连接直接中断。这个过程由 OpenSSL 或 BoringSSL 底层库自动处理，Nginx 不参与具体计算，但必须正确配置以启用该能力。
确保完整性校验生效的核心配置
-
禁用老旧协议：TLSv1.0 和 TLSv1.1 不支持可靠的完整性保护（如易受 Lucky13 等侧信道攻击），必须关闭：
ssl_protocols TLSv1.2 TLSv1.3; -
选用带认证的加密套件：优先使用 AEAD 类型套件，它们将加密与完整性校验原子化绑定：
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-CHACHA20-POLY1305; -
禁用不安全的协商选项：关闭 SSL session tickets（避免重放风险）、禁用弱哈希（如 MD5、SHA1）：
ssl_session_tickets off;
ssl_prefer_server_ciphers on;
辅助增强可信链与防篡改行为
完整性不仅依赖传输层，还需配合证书信任链和响应头策略：
- 使用可信 CA 签发的证书：Let’s Encrypt 或商业 DV/OV 证书能确保公钥真实归属，防止中间人替换证书并伪造通信。
-
启用 HSTS（HTTP Strict Transport Security）：强制浏览器后续请求只走 HTTPS，避免降级攻击导致绕过完整性保护：
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always; - 验证证书链完整性和 OCSP 装订（可选）：配置 ssl_trusted_certificate 和 ssl_stapling on; 可加快客户端证书状态验证，减少因吊销检查失败导致的异常中断。
不推荐的手动校验方式
不要试图在 Nginx 中通过 Lua 模块或自定义 header 对响应体做 MD5/SHA 校验——这既无法覆盖 TLS 记录层完整性，又破坏 HTTP/2 流式传输，还引入额外性能开销和逻辑漏洞。完整性应交由 TLS 协议栈原生保障。
