| 名称 | X-Forwarded-Proto（XFP） |
|---|---|
| 作用 | 传递原始协议方案 |
| 规范 | 无 RFC（约定俗成；标准对应 Forwarded: proto= |
| 典型值 | http / https |
Nginx 反代设置
Nginx 反代设置
location / {
proxy_set_header X-Forwarded-Proto $scheme;
}
# 应用侧（如 Django）：SECURE_PROXY_SSL_HEADER = ('HTTP_X_FORWARDED_PROTO', 'https')XFP 可被伪造：若应用无条件信任它来判定「已加密」，攻击者可用它绕过 https 强制判断（如伪造安全跳转）。只应从可信代理接收并覆盖。