AWS上如何配置HTTPS请求转发至EC2实例部署的HTTP API？

针对HTTPS前端调用HTTP EC2 API触发的混合内容拦截问题，AWS有全托管的免运维方案，不需要手动在EC2上搭建反向代理、配置SSL证书，10分钟左右就能完成链路打通，核心逻辑是在公网入口提供托管HTTPS端点，自动回源请求后端EC2上的HTTP服务，可选两种实现路径：

方案1：使用Amazon API Gateway HTTP API（适合后续需扩展网关能力的场景） #

• 登录AWS控制台进入API Gateway服务，创建HTTP API类型实例（比传统REST API成本低60%以上，完全适配纯代理转发场景）
• 配置集成端：集成类型选择HTTP，后端地址填写EC2实例上部署的HTTP服务访问地址；如果EC2部署在VPC内，优先配置VPC Link走内网转发，不需要将EC2的HTTP端口暴露到公网，安全性更高
• 跨域配置：在API的CORS设置项里，添加前端Web应用的源地址到允许源列表，同时配置允许的请求方法、请求头，避免触发浏览器跨域拦截
• 部署API到指定阶段后，即可得到API Gateway自动分配的默认HTTPS调用端点；如果需要使用自定义域名，可在API的自定义域名配置中绑定ACM（AWS Certificate Manager）申请的免费公有SSL证书，证书支持自动续期，无需手动维护
• 将前端代码中原来的HTTP API地址替换为上述HTTPS端点即可，所有到浏览器侧的请求全程走HTTPS，不会触发混合内容拦截，API Gateway会自动完成HTTPS到后端HTTP的协议转换。

方案2：使用Amazon CloudFront（适合仅需协议转换的轻量场景） #

如果不需要限流、鉴权、请求转换等API网关能力，只是单纯解决HTTPS接入问题，用CloudFront做边缘分发成本更低：

• 进入CloudFront控制台创建新分配，源站域名填写EC2上的HTTP服务地址，源站协议策略选择HTTP Only，指定CloudFront回源时固定用HTTP协议访问后端EC2服务
• 查看器协议策略选择HTTPS Only，强制终端用户访问走HTTPS，CloudFront默认分配的*.cloudfront.net域名自带可信HTTPS证书，也支持绑定自定义域名和ACM免费证书
• 给分配附加托管的CORS响应头策略，允许前端源的跨域请求，部署生效后用CloudFront分配的HTTPS域名替换前端的原HTTP API地址即可。

配置注意事项 #

配置完成后记得收紧EC2实例的安全组规则：如果走VPC Link或者CloudFront源访问控制，仅放通对应托管服务的访问段到EC2的HTTP端口，禁止全网0.0.0.0/0的HTTP入方向访问，避免后端未加密的API直接暴露在公网带来安全风险。
上线前提前用curl或者浏览器调试工具验证HTTPS端点的连通性、CORS头返回是否正确，避免前端调用报错。

内容的提问来源于stack exchange，提问作者lenhhoxung