| 默认行为 | nginx proxy_ssl_verify 默认为 off |
|---|---|
| 信任文件 | proxy_ssl_trusted_certificate 指向上游 CA 或链 |
| 名称匹配 | proxy_ssl_name 指定校验用的主机名；IP 直连场景尤其需要 |
开启回源校验
开启回源校验
location / {
proxy_pass https://backend.internal:8443;
proxy_ssl_verify on;
proxy_ssl_trusted_certificate /etc/nginx/ssl/backend-ca.pem;
proxy_ssl_verify_depth 3;
proxy_ssl_server_name on;
proxy_ssl_name backend.internal;
}自签回源应导入专用 CA 文件；上游更换证书后需要同步更新该信任文件，否则回源失败。