必须设置proxy_set_header x-forwarded-proto $scheme;，并确保后端框架显式信任该头，否则后端会误判协议导致重定向错误、secure cookie 失效及绝对 url 构建异常。

在 Nginx 做 SSL 卸载（即客户端 HTTPS → Nginx 解密 → 后端 HTTP）时，后端看到的始终是内部 HTTP 请求，若不显式告知原始协议，就会误判为 HTTP，导致重定向跳回 HTTP、Secure Cookie 被拒绝、密码重置链接用 http:// 等问题。核心解法就是用 proxy_set_header X-Forwarded-Proto $scheme 把真实协议透传过去，并确保后端可信地使用它。

必须在 Nginx 中正确设置该头

这一行不能省略，也不能写错：

• 放在 location 或 server 块中，且必须位于 proxy_pass 指令之前
• 写成 proxy_set_header X-Forwarded-Proto $scheme; —— $scheme 是 Nginx 内置变量，自动取值 http 或 https，取决于客户端实际连接协议
• 绝不能硬编码为 https，否则 HTTP 访问也会被标记为 HTTPS，引发 Cookie、CSRF、重定向逻辑错误
• 若同时监听 80 和 443 端口，两个 server 块都应包含该配置，Nginx 会各自按需填充

配套转发头建议一并设置

单靠 X-Forwarded-Proto 不足以还原完整请求上下文，推荐同步添加：

CPA Update - Secure CLI Proxy API Maintenance

安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。

下载

• proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; —— 支持多层代理，安全追加客户端 IP
• proxy_set_header X-Forwarded-Host $host; —— 防止后端基于错误 Host 生成 URL 或返回 404
• proxy_set_header Host $host; —— 显式传递原始 Host，避免后端收到 127.0.0.1:8000 这类上游地址
• （可选）proxy_set_header X-Forwarded-Port $server_port; —— 当 HTTPS 终止在非标准端口（如 8443）时有用

后端必须主动信任并解析这个头

Nginx 设置了头，后端默认不会读——必须显式启用信任机制：

• Django：设 SECURE_PROXY_SSL_HEADER = ('HTTP_X_FORWARDED_PROTO', 'https')，并开启 USE_X_FORWARDED_HOST = True
• Flask：用 ProxyFix 中间件，如 app.wsgi_app = ProxyFix(app.wsgi_app, x_proto=1)
• Spring Boot（2.2+）：配置 server.forward-headers-strategy=framework，并确保 Tomcat 的 RemoteIpValve 已启用 protocolHeader=x-forwarded-proto
• Express/Node.js：调用 app.set('trust proxy', true)，框架会自动读取 X-Forwarded-Proto 并设置 req.protocol

验证是否真正生效

别只看配置文件，动手验证三处：

• 用 curl -I https://your-domain.com 和 curl -I http://your-domain.com 分别请求，检查后端响应中重定向 Location 头是否协议正确
• 在后端加日志打印 request.headers.get('x-forwarded-proto')，确认值确实是 https 或 http
• 打开浏览器开发者工具，访问一个会跳转的页面（如未登录页），看 Network 标签里最终跳转地址、API 返回的绝对 URL、Cookie 的 Secure 属性是否符合预期