CloudFront HTTP转HTTPS在Chrome/Firefox正常但Safari不生效问题

可能的故障原因排查方向 #

1. TLS配置兼容问题 #

• 优先检查问题CloudFront分发的TLS安全策略：如果你选择了仅支持TLS 1.3的策略（如TLSv1.3_2021），旧版本Safari、系统内置curl（尤其是macOS自带的旧版本curl）默认未启用TLS 1.3支持，会在TLS握手阶段卡住，表现为请求无限挂起。
• 对比正常的app.flowtoys.com分发的TLS策略，建议统一降级到TLSv1.2_2021及以上兼容TLS 1.2的策略，确认是否恢复正常。

2. HTTP/3（QUIC）兼容问题 #

• 若你为问题分发开启了HTTP/3支持，部分旧版本iOS、Safari对QUIC协议的实现存在已知bug，会导致HTTPS请求握手失败后无回退逻辑，直接挂起。
• 临时关闭HTTP/3配置，测试Safari下访问是否恢复。

3. IPv6解析故障 #

• iOS、Safari默认优先发起IPv6请求，Chrome、Firefox在IPv6不通时会快速回退到IPv4。若你的storage.flowtoys.com域名配置了错误的AAAA记录，或CloudFront分发未正确开启IPv6支持，会导致IPv6请求超时无响应，表现为无限挂起。
• 可通过dig AAAA storage.flowtoys.com检查IPv6解析结果，对比正常站点的AAAA记录配置，或临时删除域名的AAAA记录验证。

4. 重定向规则配置差异 #

• 确认你配置HTTP转HTTPS的方式：如果是通过S3静态网站托管的重定向规则实现，需确认CloudFront的源站配置为S3静态网站端点（格式为xxx.s3-website-xxx.amazonaws.com），而非S3 REST API端点（格式为xxx.s3.xxx.amazonaws.com）。
• 不同浏览器对重定向的缓存逻辑存在差异：Chrome、Firefox可能缓存了之前正常的重定向规则，Safari读取的是最新的错误配置，可清空Safari缓存后再次验证。

5. WAF/访问控制规则拦截 #

• 检查是否为问题分发关联了AWS WAF规则，规则中是否存在针对Safari、curl的User-Agent过滤、请求特征拦截，这类拦截如果没有返回明确的错误码，会直接丢弃请求导致客户端挂起。
• 临时解绑WAF配置，验证请求是否恢复正常。

快速验证手段 #

你可以在终端执行以下命令查看请求卡在哪个阶段：

curl -v https://storage.flowtoys.com/poi4.png

如果输出停留在TLS握手环节，基本可以定位是TLS/HTTP3/IPv6类的协议层问题。

内容的提问来源于stack exchange，提问作者BananaNeil