Nginx反向代理配置HTTPS后后端Web应用无法发送邮件

邮件发送失败的核心原因是反向代理做HTTPS卸载后，没有向后端服务传递原始请求的协议标识，后端应用始终判定自身运行在HTTP环境下，触发框架内置的安全拦截逻辑，中断了邮件发送流程。大部分现代Web框架在生成验证类邮件、通知类邮件时，会校验请求协议安全性，或基于当前请求协议拼接邮件内的跳转链接，协议识别错误会直接导致逻辑抛出异常终止。
除此之外你贴的Nginx配置存在多处显性错误，会导致代理行为不符合预期：

• upstream块语法错误：定义的app.domain.com上游块没有用大括号包裹服务列表，不符合Nginx配置语法规范
• 上游地址不匹配：upstream定义的名称是app.domain.com，但proxy_pass指向的是app.domain.gr，完全没有对应到你预设的192.168.100.47:8080后端服务
• 缺少必要的代理转发头：仅传递了IP、Host头，没有传递协议、端口、HTTPS状态标识，后端无法感知前端是HTTPS访问
• 配置了已废弃的ssl on;指令，在新版Nginx中可能出现隐性的SSL处理异常
• 开放了已经被认定为不安全的TLSv1、TLSv1.1协议，存在安全隐患

1. 修正Nginx配置 #

直接替换为以下修正后的配置，注意根据实际环境调整证书路径、上游地址：

# 修正upstream块语法，统一命名避免和proxy_pass不匹配
upstream app_backend {
    server 192.168.100.47:8080;
}

server {
    listen 80;
    server_name app.domain.com;
    return 301 https://$host$request_uri;
}

server {
    # 用新版标准语法替代废弃的ssl on指令
    listen 443 ssl;
    server_name app.domain.com;

    ssl_certificate           /etc/nginx/certs/cert1.crt;
    ssl_certificate_key       /etc/nginx/certs/cert1.key;

    ssl_session_cache  builtin:1000  shared:SSL:10m;
    # 移除不安全的旧版TLS协议
    ssl_protocols  TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!eNULL:!EXPORT:!CAMELLIA:!DES:!MD5:!PSK:!RC4;
    ssl_prefer_server_ciphers on;

    keepalive_timeout 60;

    location / {
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header Host $http_host;
        proxy_http_version 1.1;
        proxy_set_header Connection "";
        proxy_set_header X-Real-IP $remote_addr;
        # 补充核心代理头，告知后端原始请求的协议、端口信息
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_set_header X-Forwarded-Port $server_port;
        proxy_set_header HTTPS "on";

        # 匹配upstream定义的名称，确保请求转发到正确的后端服务
        proxy_pass http://app_backend/;
    }
}

2. 后端应用适配配置 #

重载Nginx配置前，需要在Web应用中添加反向代理信任规则，允许应用识别Nginx传递的X-Forwarded-*系列头，否则应用会默认忽略这些代理头，依然无法识别HTTPS协议。常见框架的配置方式：

• Laravel：在app/Http/Middleware/TrustProxies.php中，将Nginx所在服务器/容器的IP段加入$proxies属性
• Django：在settings.py中添加SECURE_PROXY_SSL_HEADER = ('HTTP_X_FORWARDED_PROTO', 'https')，同时将代理IP加入可信地址列表
• Spring Boot：在配置文件中添加server.forward-headers-strategy=native
• 其他框架直接查找对应框架的「反向代理信任」配置项调整即可

3. 验证流程 #

1. 执行nginx -t确认配置语法无错误，再重载Nginx服务
2. 访问站点确认HTTPS正常加载，浏览器无安全报错
3. 触发邮件发送逻辑，查看应用日志确认无异常抛出
4. 若仍发送失败，检查后端服务器到SMTP服务的25/465/587端口连通性即可——你之前直连后端可以正常发信，这一步出问题的概率极低

补充：你提到Nginx运行在Docker容器中，只需要确认Nginx容器到192.168.100.47:8080的网络连通性正常即可，该部署方式本身和邮件发送故障没有直接关联。

内容的提问来源于stack exchange，提问作者bill saplam