要实现HTTPS回源与全链路零信任，需在http块定义upstream（如api_backend）、启用proxy_ssl并严格校验证书、proxy_pass指向https://上游、可选配置mTLS双向认证。
要通过 up
stream
块配置 HTTPS 回源并支撑全链路零信任架构，核心不是只加个
前缀，而是让 Nginx 在出向连接中主动完成 TLS 握手、证书校验与双向身份确认。这要求 u
ps
tream 定义、server 块中的 proxy_pass 行为、以及 SSL 相关指令三者协同，缺一不可。
upstream 必须定义在 http 块顶层，且明确指向 HTTPS 后端地址
upstream 不能写在 server 或 location 内，必须位于
范围下。每个后端需显式使用
端口，并建议带上域名（而非仅 IP），便于 SNI 扩展和证书匹配：
正确示例：
避免裸 IP：若用
，需确保 upstream 服务器证书的 SAN 字段包含该 IP，否则
会失败
命名语义化：如
、
，方便后续日志与监控识别
启用出向 TLS 并强制验证上游证书
Nginx 默认以明文连接 upstream。要实现零信任中的“不默认信任”，必须开启并严格约束出向 TLS 行为：
稿定在线PS
PS软件网页版
下载
：启用 TLS 连接（即 Nginx 作为 TLS 客户端）
：禁用老旧协议，防止降级攻击
：限定高强度密套件，如
：指定你信任的上游 CA 根证书（不是上游服务器证书）
：强制校验上游证书有效性（签名、有效期、域名/IP 匹配）
：允许最多两级证书链（根 CA → 中间 CA → 服务器证书）
配合 proxy_pass 完成可信转发链路
upstream 只是声明，真正建立加密回源靠
和配套头信息：
location 中写：
（注意是
，不是
）
必须设置
，否则上游无法获知原始请求域名，影响虚拟主机路由和证书 SNI
建议添加
：启用 SNI，让 Nginx 在 TLS 握手中发送目标域名，使多域名共用 443 端口的上游能正确返回对应证书
健康检查建议启用：
，避免持续向已失效的 TLS 终结点发包
延伸至 mTLS：让上游也验证 Nginx 身份（双向认证）
零信任强调“双向验证”。若上游服务支持 mTLS，可进一步配置 Nginx 携带客户端证书回源：
上游服务（如 Envoy、Nginx、或自研网关）需配置为校验该证书，并将其 CN 或 SAN 映射为服务身份（例如
）
此时整个链路具备：客户端 ↔ Nginx（mTLS）、Nginx ↔ 上游（mTLS），真正实现端到端身份锚定与加密
https://http { }:443upstream api_backend { server api1.internal:443; server api2.internal:443; }10.1.2.3:443proxy_ssl_verify onauth_servicepayment_gatewayproxy_ssl on;proxy_ssl_protocols TLSv1.2 TLSv1.3;proxy_ssl_ciphersECDHE-ECDSA-AES256-GCM-SHA384proxy_ssl_trusted_certificate /path/to/upstream-ca.pem;proxy_ssl_verify on;proxy_ssl_verify_depth 2;proxy_passproxy_pass https://api_backend;https://http://proxy_set_header Host $host;proxy_ssl_server_name on;max_fails=3 fail_timeout=30sproxy_ssl_certificate /etc/nginx/certs/nginx-client.crt;proxy_ssl_certificate_key /etc/nginx/certs/nginx-client.key;nginx-edge