| 边缘终止 | 入口统一管理证书与套件，后端省 CPU；内网需额外防护或再加密 |
|---|---|
| 透传 | 加密直达后端，负载均衡无法读取 HTTP 内容，证书责任在后端 |
| 再加密 | 边缘终止后再建立一条 TLS 连接回源，兼顾检查与链路加密 |
| 转发头 | 终止场景需传递 X-Forwarded-Proto 与客户端地址，后端据此生成正确链接 |
nginx 转发头配置要点
nginx 转发头配置要点
proxy_set_header X-Forwarded-Proto $scheme;
proxy_set_header X-Forwarded-For $remote_addr;
proxy_set_header Host $host;
# 后端生成绝对 URL 时依赖以上头，否则会出现 http 链接回跳合规场景（支付、医疗）常要求内网也加密；纯内网可信网络可以把算力留给业务。选择前先明确威胁模型与审计要求。