Nginx upstream IP访问正常 域名访问时后端接口请求失败

你域名访问后端失败完全是配置错误导致的，核心问题有三个：

• 错误指定公网DNS解析Docker内网服务
  你在/api路由块里加了resolver 1.1.1.1 ipv6=off valid=30s;，还把原本正常的proxy_pass http://backend;注释掉，换成了变量拼接的proxy_pass http://backend$empty;。Nginx有个规则：只要proxy_pass参数里包含变量，就不会使用系统默认的DNS（Docker环境下默认是127.0.0.11的内置DNS，负责解析容器名域名），只会使用你手动配置的resolver。1.1.1.1是Cloudflare的公网DNS，根本识别不了你Docker内网里叫api的后端容器，转发时直接解析失败，请求根本到不了后端。
  之前IP访问正常，就是因为当时你还没加这段错误配置，走的是注释掉的原生proxy_pass http://backend;逻辑，用Docker内置DNS解析服务，所以通信正常。
• 跨域响应头仅对OPTIONS请求生效
  你把所有跨域相关的Access-Control-*响应头全写在了if ($request_method = 'OPTIONS')判断块里，只有浏览器发OPTIONS预检请求的时候能拿到这些头，正常的GET/POST/PUT等业务请求的响应里根本不带跨域头，会被浏览器直接拦截。
• 缺少API路径适配
  当前配置会把完整的请求路径（比如/api/user/info）原封不动转发给后端，如果你的Django路由没有统一加/api前缀，后端会因为找不到匹配路径返回404。

直接替换443服务块下的/api路由配置为以下内容：

# 注意location后加斜杠，匹配所有/api开头的路径
location /api/ {
    # 删除错误的公网resolver和变量拼接逻辑，直接转发到upstream
    # 末尾加斜杠代表转发时去掉路径前缀的/api/，如果你的Django路由本身带/api前缀就删掉末尾的斜杠
    proxy_pass http://backend/;

    # 跨域头对所有请求生效，必须加always参数确保异常状态码下也返回头
    add_header 'Access-Control-Allow-Origin' '*' always;
    add_header 'Access-Control-Allow-Credentials' 'true' always;
    add_header 'Access-Control-Allow-Methods' 'GET, POST, PUT, DELETE, OPTIONS' always;
    add_header 'Access-Control-Allow-Headers' 'DNT,X-CustomHeader,Keep-Alive,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Authorization' always;

    # 单独处理OPTIONS预检请求
    if ($request_method = 'OPTIONS') {
        add_header 'Access-Control-Max-Age' 1728000 always;
        add_header 'Content-Type' 'text/plain charset=UTF-8' always;
        add_header 'Content-Length' 0 always;
        return 204;
    }

    # 原有代理头保留，补充X-Forwarded-Proto头让Django能识别请求协议
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header Host $host;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_redirect off;

    proxy_http_version  1.1;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection 'upgrade';
    proxy_cache_bypass $http_upgrade;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_read_timeout 3600;
    proxy_headers_hash_max_size 512;
    proxy_headers_hash_bucket_size 128;
}

• 如果是裸机部署的Nginx，先执行nginx -t确认配置没有语法错误，再执行nginx -s reload重载配置即可。
• 如果是Docker部署的Nginx，进入容器执行nginx -t校验通过后，重启Nginx容器即可生效。

你提到的证书需要手动添加信任的问题，等接口通了之后再排查即可，常见原因是证书链配置不完整、证书绑定域名和实际访问域名不匹配，不影响本次后端接口不通问题的修复。

内容的提问来源于stack exchange，提问作者K.I.