内部重定向不触发浏览器跳转，关键是在HTTPS入口层路由分流，将特定路径通过try_files或proxy_pass转发至内网HTTP后端，并在80端口拒绝直接访问以实现安全隔离。
内部重定向本身不涉及协议切换，它只是服务器端的路径处理，不会暴露给客户端，也不触发浏览器跳转。要让老旧接口“不走 HTTPS”且被安全隔离，关键不是禁止 HTTPS，而是：在 HTTPS 入口层做路由分流，把特定路径（如 /legacy-api/）通过内部重定向或代理方式，转发到后端一个明确不启用 SSL 的上游服务（比如内网 HTTP 接口），同时确保该路径不被外部直接以 HTTP 访问——即：只允许它从 HTTPS 端口进来，再由 Nginx 内部转给 HTTP 后端。
用 try_files 实现轻量级内部重定向
适用于静态路径映射或单点入口场景。Nginx 不对外发 3xx 响应，而是内部查找并交由指定 location 处理：
- 定义一个专用 location 拦截老旧接口路径，例如 /legacy/v1/
- 使用 try_files 指令跳转到命名 location（@legacy_backend），避免暴露真实后端地址
- 命名 location 中用 proxy_pass http://10.0.1.5:8080 转发到内网 HTTP 服务（注意是 http://，非 https）
- 务必关闭该 location 的 SSL 验证相关设置（如 proxy_ssl_verify off），但更关键是确保 upstream 地址写的是纯 HTTP
用 proxy_pass + rewrite 实现路径透明转发
当需要保留原始请求路径、Header 和方法时，proxy_pass 更可靠：
- 在监听 443 的 server 块中配置 location /legacy-api/ { ... }
- 用 rewrite ^/legacy-api/(.*)$ /$1 break 剥离前缀，避免路径错位
- 接着 proxy_pass http://internal-http-backend（指向一个 upstream 块，其 server 地址为内网 HTTP 地址）
- 添加 proxy_set_header X-Forwarded-Proto $scheme，方便后端识别原始是 HTTPS 进来的
- 可选：加 proxy_hide_header Strict-Transport-Security，防止老旧后端意外透出 HSTS 头
强制阻断 HTTP 直连，只放行 HTTPS 入口
安全隔离的前提是杜绝用户绕过 HTTPS 直接访问老旧接口：
- 在监听 80 的 server 块中，对老旧路径返回 444（直接关闭连接）或 403
- 示例：location ^~ /legacy-api/ { return 444; }
- 不要用 301 跳转，否则可能被中间人劫持回 HTTP；444 是最干净的拒绝方式
- 确保 firewall 或负载均衡器也禁止 80 端口访问该路径，形成双重防护
补充加固建议
仅靠路径转发还不够，需配合上下文控制：
- 限制 method：用 limit_except GET POST { deny all; } 拦截非预期请求方法
- 校验来源：通过 proxy_set_header X-Real-IP $remote_addr 并在后端验证 IP 段是否属于可信内网
- 禁用不必要的 header：如 proxy_hide_header Server、proxy_hide_header X-Powered-By
- 超时与缓冲控制：proxy_read_timeout 60、proxy_buffering off（视后端响应特性调整）
