nginx作为反向代理只处理302第一跳，不自动跟随多级重定向；关键在于用proxy_redirect修正每级location为公网可访问地址，并透传host、x-forwarded-proto等头使后端生成正确跳转链接。
后端服务返回的 302 响应若含多级重定向（比如 A → B → C），Nginx 默认不会自动“链式跟随”，它只负责转发第一个 302 的 Location；真正要解决的是每跳中 Location 地址是否适配代理上下文——重点不在“跳几次”，而在“每次跳转的地址是否对客户端有效”。核心矛盾仍是路径、协议、域名错位，而非跳转层级本身。
多级 302 的本质是多个独立响应，Nginx 只处理第一跳
Nginx 是反向代理，不是 HTTP 客户端，它不会像 curl -L 那样自动递归请求后续跳转。当后端返回：
- 第一次响应：302 Location: http://192.168.1.5:3000/auth
- 浏览器收到后，直接发起第二次请求到该地址（失败）
- 如果后端在 /auth 又返回 302 Location: /dashboard，那已是浏览器与后端的直接交互，Nginx 不参与
所以所谓“多级兼容性”，实际是指：**确保每一级后端生成的 Location 都能被 Nginx 修正为公网可访问地址**。否则第二跳就断在浏览器侧。
用 proxy_redirect 覆盖所有可能的跳转源头
后端可能在不同路径下返回 302，Location 值格式不一（绝对 URL、相对路径、带端口、无协议）。需在对应 location 块中配置匹配规则：
- 若后端多个服务共用同一内网基址：proxy_redirect http://192.168.1.5:3000/ $scheme://$host/;
- 若跳转地址混用 http/https 且来源不可控：proxy_redirect http:// https://;（配合 X-Forwarded-Proto 透传）
- 若存在子路径代理（如 location /v3/ { proxy_pass http://svc/; }），后端返回 /login，则补前缀：proxy_redirect / /v3/;
- 推荐通用正则（Nginx ≥1.11.8）：proxy_redirect ~^http://[^/]+(?::\d+)?(/.*)?$ $scheme://$host$1;，覆盖任意内网 IP+端口开头的绝对地址
防止后端反复生成错误 Location 的源头治理
光修响应头治标，让后端自己生成正确地址才治本。必须透传关键请求头，使其构造 Location 时参考真实入口：
- proxy_set_header Host $host; —— 避免后端拼出 localhost 或 127.0.0.1
- proxy_set_header X-Forwarded-Proto $scheme; —— 强制后端生成 https:// 开头的跳转
- proxy_set_header X-Forwarded-Host $host; —— 辅助识别原始域名
-
proxy_set_header X-Forwarded-Prefix /v3; —— 若后端支持（如 Spring Boot 的
server.forward-headers-strategy=framework），可主动读取该头补路径前缀
验证多级跳转是否真正打通
不能只测第一跳，要模拟完整链路：
- 用 curl -I -L（加 -L 表示跟随跳转）访问原始 URL，观察每一步 Location 是否都变成公网地址，直到最终 200
- 对比直连后端（
curl -I http://192.168.x.x:port/first）和经 Nginx 代理后的跳转链，确认每级 Location 差异 - 开启 error_log /var/log/nginx/error.log info;，查看 proxy_redirect 是否逐跳匹配成功（日志中会出现 “proxy_redirect: … rewritten to …”）
- 若某跳仍跳内网地址，检查该跳对应的后端响应是否落在当前 location 块内——可能需要为 /auth、/callback 等路径单独配 location + proxy_redirect
