必须在nginx中配置proxy_set_header x-forwarded-proto $scheme;（置于proxy_pass前），并同步在后端框架（如spring boot、django等）显式启用对该头的信任与解析，两者协同方可正确识别客户端http/https协议。
核心是让后端知道用户真实用的是 HTTP 还是 HTTPS，Nginx 必须透传 X-Forwarded-Proto，且后端必须主动读取并信任它——只配 Nginx 不生效，只配后端也不起作用，两者缺一不可。
必须在 Nginx 中正确设置 X-Forwarded-Proto
这一行不能省，也不能写错位置：
- 加在
location块里、proxy_pass指令之前 - 写法固定为：
proxy_set_header X-Forwarded-Proto $scheme; -
$scheme是动态变量，自动取值http或https，绝不能硬编码成https - 建议同时加上：
proxy_set_header X-Forwarded-For $remote_addr;和proxy_set_header X-Forwarded-Host $host;，补全原始请求上下文
后端框架必须显式启用并信任该头
多数框架默认忽略 X-Forwarded-* 头，需手动开启解析逻辑：
-
Spring Boot：配置
server.forward-headers-strategy=framework（推荐），或设为native并配合 Tomcat 的RemoteIpValve -
Django：设置
SECURE_PROXY_SSL_HEADER = ('HTTP_X_FORWARDED_PROTO', 'https')，并确保USE_X_FORWARDED_HOST = True -
Flask：用
ProxyFix中间件，如app.wsgi_app = ProxyFix(app.wsgi_app, x_proto=1) -
.NET Core：调用
UseForwardedHeaders()，并指定ForwardedProtoHeaderName = "X-Forwarded-Proto"
还要防重定向协议降级
即使协议识别正确，后端仍可能生成 http:// 开头的 Location 响应头，导致跳转回 HTTP：
- 在 Nginx 中加
proxy_redirect ~^http://[^/]+(/.*)?$ $scheme://$host$1;，自动把响应头里的http://xxx替换为当前协议 + 域名 - 确保
proxy_redirect放在proxy_pass后面，否则不生效 - 如果后端返回的是相对路径（如
/login），这条规则不触发，属正常行为
验证是否真正生效
别只看配置写了没，要逐层确认：
- 用
curl -v https://your-domain/查看响应头中是否有X-Forwarded-Proto: https - 在后端打印请求头，确认收到的
X-Forwarded-Proto值是否为https或http - 打开浏览器开发者工具 → Network 标签页，检查重定向链接、API 返回的 URL、Cookie 的
Secure属性是否符合预期
