nginx通过proxy_pass访问https后端时，必须启用proxy_ssl_verify并配置proxy_ssl_trusted_certificate以验证上游证书，否则易出现502或ssl协议错误；同时需正确设置proxy_ssl_protocols、proxy_ssl_ciphers及超时参数确保安全与性能。

要让 Nginx 通过 proxy_pass 安全地访问 HTTPS 后端，关键不是只改 URL 为 https://，而是必须显式配置 SSL 验证与证书信任链。否则容易出现 502 Bad Gateway 或 ERR_SSL_PROTOCOL_ERROR 等错误。

proxy_pass 指向 HTTPS 后端的基础写法

只需把 proxy_pass 的目标地址写成 https:// 开头即可，但前提是后端服务已启用 HTTPS 并监听对应端口：

• proxy_pass https://backend.example.com:8443;
• 若使用 upstream 块，server 地址也应含端口且协议隐含在 proxy_pass 中，例如：upstream backend { server backend.example.com:8443; }，再配合 proxy_pass https://backend;
• 避免写 localhost——DNS 解析可能引入延迟或失败；建议用 IP 或确保 DNS 可靠

必须开启的 SSL 验证相关指令

Nginx 默认不校验上游证书，生产环境必须主动启用并指定信任根：

FastAPI Flask Proxy

FastAPI + Flask 混合部署最佳实践，解决路由定义、API 代理等常见问题，适用于同时运行 FastAPI API 与 Flask 前端的场景。

下载

• proxy_ssl_verify on; —— 启用对后端服务器证书的验证（默认 off，不验证则失去身份确认能力）
• proxy_ssl_trusted_certificate /etc/nginx/ssl/upstream-ca.pem; —— 提供用于验证后端证书的 CA 根证书（PEM 格式），自签名或私有 CA 必须包含在此文件中
• proxy_ssl_verify_depth 2; —— 若后端证书链较长（含中间 CA），可适当调高，默认 1 通常够用

客户端证书（双向 TLS）配置

当后端要求 Nginx 提供身份证明时，需配置客户端证书：

• proxy_ssl_certificate /etc/nginx/ssl/client.crt; —— PEM 格式证书文件，含完整证书链（不含私钥）
• proxy_ssl_certificate_key /etc/nginx/ssl/client.key; —— 对应私钥，权限建议设为 600
• 注意：证书和私钥路径需真实存在，Nginx 主进程需有读取权限

连接与协议安全加固

HTTPS 代理涉及握手开销，需兼顾安全性与性能：

• proxy_ssl_protocols TLSv1.2 TLSv1.3; —— 明确限定协议版本，禁用已淘汰的 TLSv1.0/TLSv1.1 和 SSLv3
• proxy_ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256; —— 指定强加密套件（可选，非必需但推荐）
• proxy_ssl_session_reuse on; —— 复用 SSL 会话，减少重复握手开销，提升吞吐量
• 超时参数建议同步调整：proxy_connect_timeout 60s;、proxy_read_timeout 120s;、proxy_send_timeout 120s;