Docker部署Nginx时HTTP转HTTPS失败，请求报400错误求助

刚看了你的问题，这个400错误的根源其实很明确——你给80端口也加了ssl参数！当Nginx看到listen 80 ssl;时，会在80端口等待HTTPS加密流量，但用户发的是明文HTTP请求，Nginx无法解析成HTTPS格式，直接就返回400错误了，这是新手配置Nginx时很容易踩的坑～

结合你的架构需求，我给你整理一套适配Docker环境的正确配置方案，完全符合你要实现的功能：

第一步：全局HTTP转HTTPS重定向 #

先单独写一个监听80端口的server块，专门处理所有HTTP请求，统一重定向到HTTPS。这种方式比每个域名写判断要简洁高效得多：

server {
    listen 80;
    listen [::]:80;
    # 用下划线匹配所有域名，也可以指定你需要的具体域名，比如example.com app.example.com api.example.com
    server_name _;

    # 永久重定向所有HTTP请求到对应HTTPS地址
    return 301 https://$host$request_uri;
}

第二步：配置各个HTTPS站点 #

接下来针对每个域名写对应的HTTPS server块，处理各自的业务逻辑：

1. 企业官网 https://example.com #

server {
    listen 443 ssl;
    listen [::]:443 ssl;
    server_name example.com;

    # 配置SSL证书路径（注意Docker容器内的路径要和你挂载的证书目录对应）
    ssl_certificate /etc/nginx/certs/example.com.crt;
    ssl_certificate_key /etc/nginx/certs/example.com.key;

    # 可选的SSL安全优化配置
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;

    # 官网的静态文件根目录，根据你的实际容器内路径调整
    root /usr/share/nginx/html/official-site;
    index index.html;

    location / {
        try_files $uri $uri/ =404;
    }
}

2. 单页应用 https://app.example.com + API代理 #

这里要同时处理单页应用的前端路由，以及/api路径代理到https://api.example.com的需求：

server {
    listen 443 ssl;
    listen [::]:443 ssl;
    server_name app.example.com;

    ssl_certificate /etc/nginx/certs/app.example.com.crt;
    ssl_certificate_key /etc/nginx/certs/app.example.com.key;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;

    root /usr/share/nginx/html/spa-app;
    index index.html;

    # 处理单页应用的history模式路由，所有非/api的请求都返回index.html
    location / {
        try_files $uri $uri/ /index.html;
    }

    # 代理/api路径到api.example.com，避免跨域预检请求
    location /api {
        proxy_pass https://api.example.com;
        # 传递必要的请求头，确保后端API能正确识别请求来源
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;

        # 如果你的API用的是自签证书，需要开启下面的指令跳过证书验证
        # proxy_ssl_verify off;
    }
}

3. RESTful API https://api.example.com #

server {
    listen 443 ssl;
    listen [::]:443 ssl;
    server_name api.example.com;

    ssl_certificate /etc/nginx/certs/api.example.com.crt;
    ssl_certificate_key /etc/nginx/certs/api.example.com.key;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;

    # 代理到你的API服务容器，假设API容器的服务名是api-service，端口是3000
    location / {
        proxy_pass http://api-service:3000;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

Docker环境额外注意点 #

1. 端口映射：在docker-compose.yml里必须同时映射80和443端口到宿主机：

   ports:
     - "80:80"
     - "443:443"
   

2. 证书挂载：把本地的SSL证书目录挂载到Nginx容器内的对应路径，比如：

   volumes:
     - ./local-certs:/etc/nginx/certs
     - ./conf.d:/etc/nginx/conf.d
   

3. 环境变量生成配置：如果你用环境变量动态生成conf.d/default.conf，要确保模板里的listen指令不给80端口加ssl参数，并且把上面的配置结构正确嵌入模板中。

另外你之前用的if ($http_x_forwarded_proto = "http")判断，一般是在有上层反向代理（比如Cloudflare、负载均衡）的场景下才需要用，如果你是直接把Nginx暴露给外网，用全局80端口重定向的方式更直接有效。

内容的提问来源于stack exchange，提问作者Frondor