要让nginx强制http跳转https，需用独立server块监听80端口并return 301跳转；确保ssl模块启用、证书路径合规且私钥权限为600；配置后须执行nginx -t验证并reload生效。
要让 Nginx 把所有 HTTP 请求强制跳转到 HTTPS，核心是用独立的 server 块监听 80 端口，只做 301 跳转，不混入 SSL 配置。这不是加几行代码就能完事的操作，关键在结构、权限和验证。
确保 SSL 模块已启用
Nginx 必须编译时带上 --with-http_ssl_module，否则 ssl_certificate、listen 443 ssl 这类指令会直接报错，配置根本加载不了。
验证方式：
nginx -V 2>&1 | grep -o with-http_ssl_module
- 有输出 → 模块可用
- 无输出 → 需重新编译（yum/apt 安装的通常自带，源码安装易遗漏）
证书路径与权限必须合规
- 私钥文件（
.key）必须设为600权限，且属主为nginx用户（如chown nginx:nginx /etc/nginx/ssl/example.key && chmod 600 /etc/nginx/ssl/example.key） - 证书文件（
.crt或.pem）可设644，但路径不能含空格、中文或用户家目录（如/root/） - 推荐统一放
/etc/nginx/ssl/，避免放在/usr/local/nginx/conf/下——该目录常被设为755，有被遍历风险
HTTP 跳转必须用独立的 80 端口 server 块
❌ 错误做法：
- 在 HTTPS 的
server { listen 443 ssl; }块里加if ($scheme = http) { return 301 ... } - 或在
location里写跳转逻辑
✅ 正确写法（放在 http { } 块内）：
server {
listen 80;
server_name example.com www.example.com;
return 301 https://$host$request_uri;
}
-
return 301比rewrite ... permanent更轻量、无正则开销、语义明确 - 用
$host（来自请求头 Host 字段）而非$server_name，能保留原始域名和端口信息 - 若需防开放重定向（比如 IP 直连导致跳转到
https:///xxx），可显式限定：if ($host ~ ^(example\.com|www\.example\.com)$) { return 301 https://$host$request_uri; } return 403;
生效前务必完成三步验证
-
nginx -t：检查语法。90% 的失败源于路径错、权限错、少分号、模块未启用 - 防火墙放行 443 端口：
firewall-cmd --add-port=443/tcp --permanent && firewall-cmd --reload（CentOS）或ufw allow 443（Ubuntu） - SELinux 是否拦截证书读取：
ausearch -m avc -ts recent | grep nginx，若有denied记录，需调整上下文或临时禁用测试
配置无误后，执行 nginx -s reload（非 restart）即可平滑生效。不复杂但容易忽略细节。
