Nginx HTTP转HTTPS重定向配置失效问题求助

我来帮你一步步梳理这个问题，先从基础验证到配置细节逐个排查：

第一步：先验证配置语法是否合法 #

很多时候配置失效是因为语法错误，先执行这条命令检查：

nginx -t

如果提示错误，先修复语法问题——比如你配置里的HTTP 鈥�redirect是乱码，要删掉或者改成正常注释（比如# Redirect all HTTP traffic to HTTPS），否则会导致Nginx解析配置失败。

第二步：修复HTTPS服务块的域名覆盖问题 #

你的HTTP服务块同时处理了domainname.com和www.domainname.com两个域名的请求，但HTTPS服务块的server_name只写了www.domainname.com。这会导致：
当用户访问http://domainname.com时，重定向会指向https://domainname.com，但Nginx没有专门匹配这个域名的HTTPS服务块，即便默认服务块能处理，也可能引发浏览器的域名匹配疑虑，导致重定向异常。

修复方案：把HTTPS服务块的server_name改成：

server_name domainname.com www.domainname.com;

第三步：优化重定向语句的可靠性 #

你当前用的是return 301 https://$server_name$request_uri;，$server_name是配置文件里硬编码的域名，而$host是来自用户请求的Host头，更贴合实际访问场景（比如用户用自定义Host头访问时），建议修改为：

return 301 https://$host$request_uri;

第四步：检查80端口是否被占用 #

如果80端口被其他服务（比如Apache、另一个Nginx进程）占用，你的HTTP服务块就无法正常监听请求，自然不会触发重定向。执行以下命令检查：

ss -tulpn | grep :80

如果看到非Nginx的进程占用80端口，需要停止该服务或者调整Nginx监听端口（不推荐，80是标准HTTP端口）。

第五步：清除浏览器缓存 #

301是永久重定向，浏览器会缓存这个规则，如果之前有错误的重定向配置，缓存会导致新配置不生效。建议用浏览器隐身模式测试，或者手动清除缓存后再试。

第六步：确保Nginx重新加载配置 #

修改配置后必须执行这条命令让配置生效：

nginx -s reload

调整后的完整配置示例（修复了上述问题） #

# Redirect all HTTP traffic to HTTPS
server {
    listen 80;
    server_name domainname.com www.domainname.com;
    return 301 https://$host$request_uri;
}

server {
    listen 443 ssl http2 default_server;
    listen [::]:443 ssl http2 default_server;
    server_name domainname.com www.domainname.com;

    error_page 497 https://$host$request_uri;

    ssl_certificate /etc/letsencrypt/live/domainname.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/domainname.com/privkey.pem;

    ssl_session_timeout 1d;
    ssl_session_cache shared:SSL:50m;
    ssl_session_tickets off;

    # 更安全的TLS协议配置
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384;
    ssl_prefer_server_ciphers on;

    # 确保所有响应都返回HSTS头
    add_header Strict-Transport-Security max-age=15768000 always;

    # 修复OCSP Stapling配置
    ssl_stapling on;
    ssl_stapling_verify on;
    ssl_trusted_certificate /etc/letsencrypt/live/domainname.com/fullchain.pem;
    resolver 8.8.8.8 8.8.4.4 valid=300s;
    resolver_timeout 5s;

    location / {
        proxy_pass http://localhost:3000;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection 'upgrade';
        proxy_set_header Host $host;
        proxy_cache_bypass $http_upgrade;
    }

    location /blog {
        proxy_pass http://localhost:2368;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection 'upgrade';
        proxy_set_header Host $host;
        proxy_cache_bypass $http_upgrade;
    }
}

额外细节说明：

• 把ssl_protocols更新为仅保留TLSv1.2和TLSv1.3，旧版本TLS协议存在安全风险
• add_header Strict-Transport-Security添加always参数，确保错误页面也能返回这个安全头
• 修正了ssl_trusted_certificate指向，应该用证书链文件而非dhparam.pem
• 给resolver添加了超时和有效期配置，提升OCSP stapling的稳定性

内容的提问来源于stack exchange，提问作者Jitesh