NGINX反向代理HTTP流量被强制跳转HTTPS问题排查

你当前贴出的80端口NGINX配置本身无语法错误，强制跳转HTTPS的表现与这段配置的转发逻辑无关，按以下优先级排查即可：

• 优先排查后端服务的强制跳转配置
  两个后端服务（192.168.50.226:8080、192.168.50.35:8080）如果是WordPress、Nextcloud、面板搭建的站点类应用，默认常开启「强制HTTPS」开关，或在站点设置里写死了https://开头的站点地址。请求转发到后端后，后端会直接返回301/302响应跳转到HTTPS地址，NGINX默认透传该响应，就会出现地址栏自动跳HTTPS的现象。
  验证方式：登录后端服务器本地执行curl -I http://127.0.0.1:8080，查看返回头中Location字段是否为https://开头的地址，若存在则可确认是后端配置问题。直接到对应应用的后台关闭强制HTTPS开关，将站点地址修改为http://开头的对应域名即可。
• 排查浏览器HSTS缓存影响
  如果之前给这两个域名配置过HTTPS服务，且返回过Strict-Transport-Security响应头，浏览器会在本地缓存HSTS规则，缓存有效期内哪怕服务端只提供HTTP服务，浏览器也会自动将HTTP请求替换为HTTPS发起，和当前服务端配置无关。
  验证方式：打开浏览器无痕访问模式测试，或使用从未访问过这两个域名的设备发起请求，如果无痕模式下访问HTTP地址无跳转，即可确认是HSTS缓存问题。清理对应域名的HSTS缓存即可（Chrome/Edge可打开chrome://net-internals/#hsts，在删除域名安全策略的输入框中填入对应域名提交删除），同时确认NGINX所有server块中没有配置add_header Strict-Transport-Security相关规则。
• 排查出口防火墙/网关的强制跳转规则
  部分家用路由器、企业级防火墙默认开启「HTTP自动升级HTTPS」「网页安全防护强制HTTPS」类功能，会拦截经过的80端口HTTP响应，替换为跳转到HTTPS的302响应。
  验证方式：在内网其他设备上配置hosts，将两个域名直接指向NGINX服务器的内网IP，走内网访问测试，如果内网访问无跳转、仅经WAN口访问时出现跳转，到防火墙/网关配置页关闭上述对应功能开关即可。

配置优化建议 #

你当前的配置缺少反向代理必要的请求头传递规则，容易导致后端因识别不到正确的域名、访问协议触发异常跳转，可替换为以下配置：

server {
    listen 80;
    server_name www.domain1.net domain1.net;

    location / {
        proxy_pass http://192.168.50.226:8080;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_redirect off;
    }
}
server {
    listen 80;
    server_name www.domain2.net domain2.net;

    location / {
        proxy_pass http://192.168.50.35:8080;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_redirect off;
    }
}

配置修改完成后，先执行nginx -t校验语法无报错，再执行nginx -s reload重载配置即可生效。

内容的提问来源于stack exchange，提问作者user1901231