排查https重定向错误的关键是确保最外层客户端的真实协议被逐层准确传递至后端：需检查nginx日志中$status、$upstream_status和$upstream_http_location字段，配置proxy_set_header x-forwarded-proto正确透传，并使后端框架信任该头，同时协同设置host与x-forwarded-port，最后用curl -v验证全链路location响应。
排查多级代理中 HTTPS 协议头丢失引发的重定向错误，关键不是看 Nginx 自身是否启用了 SSL，而是确认 最外层客户端的真实协议 是否被逐层准确传递到后端应用。协议头丢失不会报错，但会导致 302 跳转生成 http:// 地址，浏览器跳过去又被强制 HTTPS，最终出现 ERR_TOO_MANY_REDIRECTS。
检查 access.log 中的关键响应字段
在 Nginx 日志中启用包含以下三字段的自定义格式，是定位问题的第一步：
- $status：应为 302，表示 Nginx 向客户端返回了重定向
- $upstream_status：也应为 302，说明后端确实返回了跳转响应，不是 Nginx 自己生成的错误页
-
$upstream_http_location：直接查看后端原始 Location 值。若出现
http://127.0.0.1:8080/login或http://example.com:8080/admin，就说明协议和/或端口没传对，或者后端没识别
验证 X-Forwarded-Proto 是否被正确透传和信任
这个头决定了后端是否知道自己该用 https:// 构造跳转地址：
- 在 proxy_pass 所在 location 块中，必须有：
proxy_set_header X-Forwarded-Proto $scheme; - 如果前面有 CDN 或 WAF（如 Cloudflare、阿里云 SLB），它们通常已设该头，此时应改用：
proxy_set_header X-Forwarded-Proto $http_x_forwarded_proto;，避免覆盖 - 后端框架必须显式启用并信任该头：Spring Boot 需
server.forward-headers-strategy=framework；Django 需SECURE_PROXY_SSL_HEADER = ('HTTP_X_FORWARDED_PROTO', 'https')；否则即使 Nginx 发了，后端也视而不见
确认 Host 和 X-Forwarded-Port 是否协同一致
仅传协议不够，后端还需知道用户访问的完整上下文才能拼出正确 URL：
- Host 头建议用
proxy_set_header Host $host;，不带端口，避免后端生成含 :443 或 :8443 的跳转地址 - X-Forwarded-Port 应根据代理层级决定：若 Nginx 是第一层入口（直连用户），加
proxy_set_header X-Forwarded-Port $server_port;；若上游已设（如 CDN 返回 443），则无需重复设置，甚至应跳过以免覆盖 - 部分服务（如 Spring Boot）默认不读 X-Forwarded-Port，需额外配置
server.tomcat.remoteip.port-header=x-forwarded-port
用 curl -v 实测全链路行为
绕过浏览器缓存和前端干扰，直接观察每一跳：
- 执行：
curl -v https://your-domain.com/login - 关注响应头中的
Location:字段——它是否以https://开头？是否含错误端口？ - 再对比：
curl -v http://your-domain.com/login，确认 HTTP 入口是否也返回 https:// 跳转（应避免） - 若 Location 是 http:// 开头，且日志中 $upstream_http_location 也是 http://，说明后端根本没识别协议；若是 https:// 但跳转失败，则可能是 proxy_redirect 规则未匹配或后端返回了绝对内网地址
