nginx安全代理转发需同时确保路径精准裁剪与关键请求头透传：末尾带/的proxy_pass截去location前缀再拼接，不带/则原样转发；必须设置host、x-real-ip、x-forwarded-for和x-forwarded-proto四头以保真源信息与协议一致性。
在 Nginx 的 location 块中配置安全代理转发，核心是两件事：正确转发请求到后端，同时保留原始客户端信息、防止请求被篡改或绕过安全边界。这不是加个 proxy_pass 就完事，关键在头部设置和协议一致性。
必须设置的代理请求头
只写 proxy_pass 会导致后端丢失真实访问来源，还可能因 Host 头缺失引发 404 或证书校验失败。以下四行应作为标配：
-
proxy_set_header Host $host;—— 把浏览器发来的 Host 值透传过去，后端才能正确路由多租户或虚拟主机 -
proxy_set_header X-Real-IP $remote_addr;—— 让后端拿到客户端真实 IP，而不是 Nginx 自己的内网地址 -
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;—— 在链式代理（如 CDN → Nginx → 后端）时拼接完整 IP 链路 -
proxy_set_header X-Forwarded-Proto $scheme;—— 明确告诉后端当前是 http 还是 https，避免后端生成错误的跳转链接或混合内容警告
路径转发要小心裁剪
如果用 location /api/ { proxy_pass http://127.0.0.1:8080/; }，Nginx 会自动把匹配到的 /api/ 前缀去掉再发给后端；但若写成 proxy_pass http://127.0.0.1:8080;（末尾无斜杠），则整个原始 URI（含 /api/）原样转发，后端很可能 404。确认是否需要裁剪，就看后端服务是否监听 / 还是 /api/ 路径。
HTTPS 场景下的额外加固项
当 Nginx 终止 HTTPS（即前端是 https，后端是 http），需额外注意：
- 后端应用要信任
X-Forwarded-Proto头，否则登录跳转可能变成 http 协议 - 若后端也走 HTTPS（比如
proxy_pass https://backend:443），需补上证书验证控制：proxy_ssl_verify off;（测试环境可关）proxy_ssl_trusted_certificate /etc/nginx/ssl/ca-bundle.crt;（生产建议开启并指定可信 CA） - 避免 SSL 卸载后明文传输敏感数据，确保 Nginx 到后端网络受信（如内网 VLAN 或 TLS 双向认证）
超时与缓冲区基础防护
默认超时太短易中断大文件上传或长轮询，缓冲区太小会触发 upstream sent too big header 错误：
-
proxy_connect_timeout 30s;—— 建立连接上限 -
proxy_send_timeout 300s;—— 向后端发数据期间两次写操作最大间隔 -
proxy_read_timeout 300s;—— 等待后端响应的最大空闲时间 -
proxy_buffering on;+proxy_buffer_size 16k;+proxy_buffers 8 32k;—— 缓冲响应头和体，减轻后端压力
