如何配置Traefik暴露内部HTTPS错误（如证书过期）同时保留内部服务500错误响应体

我来帮你解决这个棘手的问题！你遇到的情况是Traefik的默认安全设计——它不会把和后端TLS握手失败的具体错误（比如证书过期）直接返回给客户端，只会显示通用的500错误。不过咱们可以通过两种方案实现你的需求：要么调整Traefik的配置来区分自身生成的错误和后端返回的错误，要么换用更灵活的反向代理。

方案一：调整Traefik配置，区分两类500错误 #

这个方案的核心思路是：给后端返回的所有响应加一个自定义标识头，让Traefik的错误中间件只处理没有这个标识的500错误（也就是Traefik自身产生的TLS握手错误），后端原生的500响应则原样返回。

1. 配置自定义头中间件 #

先创建一个中间件，给所有后端返回的响应添加一个唯一标识头，比如X-Backend-Response: true，用来标记这是后端自己返回的响应：

http:
  middlewares:
    add-backend-identifier:
      headers:
        customResponseHeaders:
          X-Backend-Response: "true"

2. 配置自定义TLS错误页面和对应的服务 #

接下来，准备一个简单的静态错误页面（比如tls-error.html），内容可以写清楚可能的TLS错误原因，同时提示查看Traefik日志获取细节：

<html>
  <body>
    <h1>后端TLS连接失败</h1>
    <p>常见原因：后端证书过期、CA未被信任、TLS配置错误</p>
    <p>请查看Traefik服务器日志获取具体错误信息</p>
  </body>
</html>

然后在Traefik中配置一个提供这个错误页面的服务，以及对应的错误中间件，注意要添加匹配规则——只处理没有X-Backend-Response头的500错误：

http:
  services:
    error-page-service:
      loadBalancer:
        servers:
          - url: "http://localhost:8080/" # 假设你用一个简单的静态文件服务托管错误页面
  middlewares:
    traefik-tls-error-handler:
      errors:
        status:
          - "500"
        query: "/tls-error.html"
        service: error-page-service
        match: "ResponseHeaders['X-Backend-Response'] == ''"

3. 路由中应用中间件链 #

在你的服务路由配置里，先添加add-backend-identifier中间件，再添加traefik-tls-error-handler中间件。这样：

• 后端返回的500响应会带有自定义头，错误中间件不会拦截，原样返回给客户端
• Traefik自身产生的TLS错误500没有这个头，会触发自定义错误页面

额外优化：增强Traefik日志 #

为了更方便排查具体错误，可以把Traefik的日志级别调高，让TLS错误信息更清晰：

log:
  level: INFO
  format: json
accessLog:
  enabled: true
  format: json

这样日志里会明确记录类似x509: certificate has expired or is not yet valid的具体错误信息。

方案二：换用Nginx反向代理 #

如果Traefik的配置太繁琐，Nginx在处理这类场景时更直接。它可以区分自身和后端的错误，只拦截TLS握手失败的情况，后端原生的500响应会原样返回。

示例配置如下：

server {
  listen 443 ssl;
  server_name your-service.lab;

  # 配置你的外部HTTPS证书
  ssl_certificate /path/to/your/public/cert.pem;
  ssl_certificate_key /path/to/your/private/key.pem;

  # 开启错误拦截，但只处理Nginx自身的错误
  proxy_intercept_errors on;

  location / {
    proxy_pass https://backend-service:443;
    # 信任你的自定义CA
    proxy_ssl_trusted_certificate /path/to/your/custom-ca.pem;
    
    # 当Nginx和后端TLS握手失败时，返回自定义错误页面
    error_page 502 504 /tls-error.html;
    # 后端返回的500不会被拦截，直接透传给客户端
  }

  # 自定义错误页面的路由
  location = /tls-error.html {
    root /path/to/your/error-pages-folder;
    internal;
  }
}

当后端证书过期时，Nginx会返回502错误并显示自定义页面；后端自己返回的500响应则会完整保留响应体，不会被修改。

备注：内容来源于stack exchange，提问作者Danya02