proxy_redirect的核心是重写后端302响应头中的location字段，将内网地址（如http://192.168.1.100:8080/login）替换为公网可访问地址（如https://example.com/login），需配合proxy_pass、proxy_set_header透传真实请求头，并通过curl -i和error_log验证生效。
用 proxy_redirect 修正后端返回的 302 Location，核心不是让 Nginx 自己跳转，而是把后端生成的错误地址（比如 http://192.168.1.100:8080/login）替换成用户能访问的公网地址（比如 https://example.com/login）。这一步必须配合请求头透传，否则后端下次还会生成同样问题。
先看清后端到底返回了什么
别凭经验猜，直接用 curl -I 看真实响应头：
curl -I https://your-domain.com/login- 重点检查返回的
Location:行，看它是绝对 URL（含http://或内网 IP）还是相对路径（如/dashboard） - 如果看到
Location: http://10.0.2.5:3000/callback这类地址，说明必须重写协议、IP 和端口
针对常见 Location 类型写 proxy_redirect 规则
规则写在 location 块里，且必须放在 proxy_pass 之后：
CPA Update - Secure CLI Proxy API Maintenance
下载
安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。
- 后端返回固定内网地址（如
http://192.168.1.100:8080/）：proxy_redirect http://192.168.1.100:8080/ $scheme://$host/; - 只改协议（后端返回
http://example.com/path，但你要 HTTPS）：proxy_redirect http:// https://; - 子路径代理时补前缀（
location /admin/代理到后端根，后端返回/login）：proxy_redirect / /admin/; - 动态适配任意内网地址（推荐用于容器或云环境）：
proxy_redirect ~^http://[^/]+(?::\d+)?(/.*)?$ $scheme://$host$1;
光改 Location 不够，还得告诉后端真实请求信息
否则后端下次重定向可能又出错。这几行 proxy_set_header 必须加上：
-
proxy_set_header Host $host;—— 防止后端误用 localhost 或内网域名 -
proxy_set_header X-Forwarded-Proto $scheme;—— 明确告知是 HTTP 还是 HTTPS，避免协议降级 -
proxy_set_header X-Forwarded-Host $host;—— 辅助后端识别用户访问的原始主机名 -
proxy_set_header X-Real-IP $remote_addr;和X-Forwarded-For $proxy_add_x_forwarded_for;—— 保留客户端真实 IP
验证是否真正生效
配置完别急着 reload，先确认效果：
- 用
curl -I https://your-domain.com/login检查返回的Location是否已是公网可访问地址 - 开启 Nginx 错误日志到
info级别，可看到proxy_redirect是否成功匹配并替换 - 如果仍跳内网地址，检查：指令是否写在正确 location 块、是否漏分号、正则是否多写了空格、
$scheme变量是否在 HTTPS server 块中可用
