强制http跳转https需配置两个独立server块：80端口用return 301 https://$host$request_uri实现跳转，443端口正确配置ssl证书、tls协议及hsts头；上线前须语法检测、curl测试和浏览器验证。
在 nginx.conf 中配置强制 HTTP 跳转 HTTPS，核心是用两个独立的 server 块：一个监听 80 端口做 301 重定向，另一个监听 443 端口跑真正的 HTTPS 服务。不推荐把跳转逻辑塞进 rewrite 或混在业务 server 里，清晰分离才稳定可靠。
添加独立的 80 端口跳转 server 块
在 http 块内（通常位于 nginx.conf 底部或 conf.d/ 的子配置中）新增如下配置：
- 必须包含
listen 80;和匹配你域名的server_name，比如example.com www.example.com - 只写一行跳转指令：
return 301 https://$host$request_uri; -
$host动态取请求头 Host 值，支持多域名；$request_uri包含完整路径和查询参数，无需额外拼接 - 不要加
ssl、location或其他业务配置，这个块只负责跳转
确保 443 端口 HTTPS server 已就绪
跳转能生效的前提，是 HTTPS 服务本身可访问。检查你的 443 server 块是否已存在并正确配置：
- 监听语句必须是
listen 443 ssl http2;（ssl关键字不可少） -
ssl_certificate和ssl_certificate_key路径要准确，建议用绝对路径，如/etc/nginx/ssl/fullchain.pem - 启用较新 TLS 协议：
ssl_protocols TLSv1.2 TLSv1.3; - 私钥权限设为
600，属主为 Nginx 运行用户（如nginx或www-data）
补充 HSTS 提升安全性
仅靠跳转不能防止首次访问被劫持。在 443 server 块内加上这行头，让浏览器记住“只许走 HTTPS”：
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;-
max-age=31536000表示一年有效期，是主流推荐值 -
includeSubDomains扩展策略到所有子域名（如api.example.com） -
preload表示申请加入浏览器预加载列表（加入后无法撤回，确认无误再加）
验证与上线前必做检查
改完配置别急着 reload，按顺序确认这几项：
- 备份原文件：
cp /etc/nginx/nginx.conf /etc/nginx/nginx.conf.bak - 语法检测：
nginx -t，看到syntax is ok和test is successful才继续 - 命令行测试跳转：
curl -I http://example.com/test?x=1，应返回301 Moved Permanently且Location头指向带参数的 HTTPS 地址 - 浏览器访问
http://example.com，地址栏应自动变为https://，且路径和参数完整保留
