像配置DNS一样搞定HTTPS：Nginx + Spring Boot 全链路 HTTPS 保姆级实战

从自签名证书到生产级自动化轮换，附带 mTLS 高级玩法，这次我们把“安全”焊死在基因里

你好，我是饺子。

不知道你有没有经历过这样的场景：吭哧吭哧开发完一个 Spring Boot 项目，部署到服务器上，正打算在朋友圈晒个链接，结果浏览器打开一看，一个大大的 “不安全” 红叉，或者 HTTP 请求直接被浏览器拦截，连接口调不通了。

在现代互联网生态下，HTTPS 早已不是“选配”，而是“标配”。浏览器正在逐步淘汰 HTTP，新特性（如 HTTP/2、Service Worker、Geolocation API）强制要求安全上下文；搜索引擎更是明确将 HTTPS 作为排名因子。说白了，如果业务连 HTTPS 都没有，用户可能根本就没机会看到你的代码。

今天，我们不聊虚的。我将基于 Nginx 1.24 + Spring Boot 3.x，手把手带你走一遍 全链路 HTTPS 的完整落地实战。内容包括证书申请、Nginx 安全加固、后端真实 IP 透传、证书自动化轮换，以及高阶的 mTLS 双向认证。

📚 文章很长，建议先 点赞/收藏，

目录

1. 为什么必须是 HTTPS？—— 痛点与数据对比

很多新手朋友会觉得：“我的项目又没涉及金钱交易，HTTP 够用了。” 这其实是非常危险的误解。

HTTPS 不仅仅是加密数据，它还包含了身份验证和数据完整性校验。没有它，你的用户数据在 WiFi 路由节点上几乎是“裸奔”的，运营商劫持、广告注入更是家常便饭。

1.1 HTTP vs HTTPS：一张表看懂差距

引用自 Mozilla 的 TLS 安全指南：现代 Web 平台正在强制要求 HTTPS，放弃 HTTP 意味着放弃了整个 Web 的未来潜力。

2. 架构图解：Nginx 如何“终结”SSL

在 Spring Boot 部署中，我们极少让 Java 应用直接暴露 443 端口处理 TLS，而是采用 SSL 终止模型。

即：Nginx 负责接收 443 端口的 HTTPS 请求，解密流量后，将 HTTP 明文请求转发给后端的 Spring Boot 应用（如 8080 端口）。

#mermaid-svg-kguDe1HEUzLsPDjg{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:16px;fill:#333;}@keyframes edge-animation-frame{from{stroke-dashoffset:0;}}@keyframes dash{to{stroke-dashoffset:0;}}#mermaid-svg-kguDe1HEUzLsPDjg .edge-animation-slow{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 50s linear infinite;stroke-linecap:round;}#mermaid-svg-kguDe1HEUzLsPDjg .edge-animation-fast{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 20s linear infinite;stroke-linecap:round;}#mermaid-svg-kguDe1HEUzLsPDjg .error-icon{fill:#552222;}#mermaid-svg-kguDe1HEUzLsPDjg .error-text{fill:#552222;stroke:#552222;}#mermaid-svg-kguDe1HEUzLsPDjg .edge-thickness-normal{stroke-width:1px;}#mermaid-svg-kguDe1HEUzLsPDjg .edge-thickness-thick{stroke-width:3.5px;}#mermaid-svg-kguDe1HEUzLsPDjg .edge-pattern-solid{stroke-dasharray:0;}#mermaid-svg-kguDe1HEUzLsPDjg .edge-thickness-invisible{stroke-width:0;fill:none;}#mermaid-svg-kguDe1HEUzLsPDjg .edge-pattern-dashed{stroke-dasharray:3;}#mermaid-svg-kguDe1HEUzLsPDjg .edge-pattern-dotted{stroke-dasharray:2;}#mermaid-svg-kguDe1HEUzLsPDjg .marker{fill:#333333;stroke:#333333;}#mermaid-svg-kguDe1HEUzLsPDjg .marker.cross{stroke:#333333;}#mermaid-svg-kguDe1HEUzLsPDjg svg{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:16px;}#mermaid-svg-kguDe1HEUzLsPDjg p{margin:0;}#mermaid-svg-kguDe1HEUzLsPDjg .label{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;color:#333;}#mermaid-svg-kguDe1HEUzLsPDjg .cluster-label text{fill:#333;}#mermaid-svg-kguDe1HEUzLsPDjg .cluster-label span{color:#333;}#mermaid-svg-kguDe1HEUzLsPDjg .cluster-label span p{background-color:transparent;}#mermaid-svg-kguDe1HEUzLsPDjg .label text,#mermaid-svg-kguDe1HEUzLsPDjg span{fill:#333;color:#333;}#mermaid-svg-kguDe1HEUzLsPDjg .node rect,#mermaid-svg-kguDe1HEUzLsPDjg .node circle,#mermaid-svg-kguDe1HEUzLsPDjg .node ellipse,#mermaid-svg-kguDe1HEUzLsPDjg .node polygon,#mermaid-svg-kguDe1HEUzLsPDjg .node path{fill:#ECECFF;stroke:#9370DB;stroke-width:1px;}#mermaid-svg-kguDe1HEUzLsPDjg .rough-node .label text,#mermaid-svg-kguDe1HEUzLsPDjg .node .label text,#mermaid-svg-kguDe1HEUzLsPDjg .image-shape .label,#mermaid-svg-kguDe1HEUzLsPDjg .icon-shape .label{text-anchor:middle;}#mermaid-svg-kguDe1HEUzLsPDjg .node .katex path{fill:#000;stroke:#000;stroke-width:1px;}#mermaid-svg-kguDe1HEUzLsPDjg .rough-node .label,#mermaid-svg-kguDe1HEUzLsPDjg .node .label,#mermaid-svg-kguDe1HEUzLsPDjg .image-shape .label,#mermaid-svg-kguDe1HEUzLsPDjg .icon-shape .label{text-align:center;}#mermaid-svg-kguDe1HEUzLsPDjg .node.clickable{cursor:pointer;}#mermaid-svg-kguDe1HEUzLsPDjg .root .anchor path{fill:#333333!important;stroke-width:0;stroke:#333333;}#mermaid-svg-kguDe1HEUzLsPDjg .arrowheadPath{fill:#333333;}#mermaid-svg-kguDe1HEUzLsPDjg .edgePath .path{stroke:#333333;stroke-width:2.0px;}#mermaid-svg-kguDe1HEUzLsPDjg .flowchart-link{stroke:#333333;fill:none;}#mermaid-svg-kguDe1HEUzLsPDjg .edgeLabel{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-kguDe1HEUzLsPDjg .edgeLabel p{background-color:rgba(232,232,232, 0.8);}#mermaid-svg-kguDe1HEUzLsPDjg .edgeLabel rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-kguDe1HEUzLsPDjg .labelBkg{background-color:rgba(232, 232, 232, 0.5);}#mermaid-svg-kguDe1HEUzLsPDjg .cluster rect{fill:#ffffde;stroke:#aaaa33;stroke-width:1px;}#mermaid-svg-kguDe1HEUzLsPDjg .cluster text{fill:#333;}#mermaid-svg-kguDe1HEUzLsPDjg .cluster span{color:#333;}#mermaid-svg-kguDe1HEUzLsPDjg div.mermaidTooltip{position:absolute;text-align:center;max-width:200px;padding:2px;font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:12px;background:hsl(80, 100%, 96.2745098039%);border:1px solid #aaaa33;border-radius:2px;pointer-events:none;z-index:100;}#mermaid-svg-kguDe1HEUzLsPDjg .flowchartTitleText{text-anchor:middle;font-size:18px;fill:#333;}#mermaid-svg-kguDe1HEUzLsPDjg rect.text{fill:none;stroke-width:0;}#mermaid-svg-kguDe1HEUzLsPDjg .icon-shape,#mermaid-svg-kguDe1HEUzLsPDjg .image-shape{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-kguDe1HEUzLsPDjg .icon-shape p,#mermaid-svg-kguDe1HEUzLsPDjg .image-shape p{background-color:rgba(232,232,232, 0.8);padding:2px;}#mermaid-svg-kguDe1HEUzLsPDjg .icon-shape .label rect,#mermaid-svg-kguDe1HEUzLsPDjg .image-shape .label rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-kguDe1HEUzLsPDjg .label-icon{display:inline-block;height:1em;overflow:visible;vertical-align:-0.125em;}#mermaid-svg-kguDe1HEUzLsPDjg .node .label-icon path{fill:currentColor;stroke:revert;stroke-width:revert;}#mermaid-svg-kguDe1HEUzLsPDjg :root{–mermaid-font-family:\”trebuchet ms\”,verdana,arial,sans-serif;}

HTTPS (443)

HTTP (内网 8080)

响应

加密响应

客户端 Browser

Nginx 反向代理SSL/TLS 终止

Spring Boot 应用

这种架构的好处是：

2.1 核心指令对比表

为了让后面的 Nginx 配置更清晰，我们先理解几个关键指令：

3. 证书生态与自动化实战

证书分为商业证书和免费证书。对于绝大多数个人站或中小公司，Let‘s Encrypt 提供的免费证书完全够用，且支持自动续期。

传统手动申请（上传验证文件）虽然能用，但在证书有效期缩短至 90 天甚至未来的 47 天趋势下，纯手工续期难以为继。必须依赖 ACME 协议 实现自动化。

这里我推荐使用轻量级的 acme.sh。

3.1 安装 acme.sh

curl https://get.acme.sh | sh
source ~/.bashrc

3.2 申请证书（HTTP 验证方式）

假设你的 Web 根目录是 /var/www/html，Nginx 已配置 80 端口访问，且该目录可被 Let’s Encrypt 访问（访问 http://your-domain/.well-known/acme-challenge/ 可达）。

# 使用 Webroot 模式申请
~/.acme.sh/acme.sh –issue -d your-domain.com -w /var/www/html

3.3 安装证书到指定目录

申请成功后，把证书安装到 Nginx 常用的读取目录。acme.sh 会记录安装路径，方便后续自动续期更新配置。

~/.acme.sh/acme.sh –install-cert -d your-domain.com \\
–key-file /etc/nginx/ssl/your-domain.key \\
–fullchain-file /etc/nginx/ssl/your-domain.crt \\
–reloadcmd "nginx -s reload"

如果是 DNS 验证（申请泛域名证书），需要配置 DNS API 密钥，命令类似 –dns dns_cf，这里不再赘述 。

4. 生产级 Nginx 配置实战（核心）

这是全文最核心的部分。这份 nginx.conf 配置开箱即用，包含了目前业界最佳的安全加固策略。

你需要修改的位置：server_name、ssl_certificate 路径、proxy_pass 后端地址。

server {
# 1. 监听 80 端口，强制跳转 HTTPS (HSTS 预加载)
listen 80;
server_name your-domain.com;
# 永久重定向到 HTTPS
return 301 https://$host$request_uri;
}

server {
# 2. 监听 443 端口，启用 HTTP/2 和 SSL
listen 443 ssl http2;
server_name your-domain.com;

# — 证书配置 —
ssl_certificate /etc/nginx/ssl/your-domain.crt; # 公钥
ssl_certificate_key /etc/nginx/ssl/your-domain.key; # 私钥

# — 安全加固 (TLS 1.3 & 强密码套件) —
# 仅启用 TLS 1.3 和 TLS 1.2 (禁用过时的 1.0/1.1)
ssl_protocols TLSv1.2 TLSv1.3;
# 使用现代、安全的加密套件 (来源: Mozilla 推荐)
ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384';
ssl_prefer_server_ciphers off; # 遵循客户端顺序，提高兼容性

# — 性能优化 (会话缓存 & OCSP Stapling) —
# 会话缓存，复用握手信息，性能提升约 30%+
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 1d;
ssl_session_tickets off; # 禁用 ticket 以兼容更广泛场景

# OCSP Stapling: 让 Nginx 代替浏览器去查询证书吊销状态，减少客户端验证延迟
ssl_stapling on;
ssl_stapling_verify on;
# 信任链路径，通常与证书同目录
ssl_trusted_certificate /etc/nginx/ssl/your-domain.crt;
resolver 8.8.8.8 8.8.4.4 valid=300s;
resolver_timeout 5s;

# — 安全头部 (HSTS & CSP) —
# HSTS: 强制浏览器在接下来 2 年内 (63072000秒) 只通过 HTTPS 访问
add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;
# CSP: 限制资源加载源，防御 XSS (此处仅示例，请按需调整)
add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline';" always;
# 防止浏览器 MIME 类型嗅探
add_header X-Content-Type-Options "nosniff" always;
# 点击劫持防护
add_header X-Frame-Options "SAMEORIGIN" always;

# — 反向代理到 Spring Boot —
location / {
proxy_pass http://127.0.0.1:8080; # 你的 Spring Boot 地址

# 关键：透传真实 IP 和协议
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme; # 告诉后端，原始协议是 HTTPS

# 超时设置
proxy_connect_timeout 60s;
proxy_send_timeout 60s;
proxy_read_timeout 60s;
}
}

5. 前后端打通：Spring Boot 如何感知真实协议（避坑必看）

配置完 Nginx 后，你可能会发现一个经典的 Spring Boot 痛點：在 Controller 中通过 request.getScheme() 获取到的永远是 http，request.isSecure() 永远是 false。

这是因为 Nginx 转发的请求是 HTTP 明文，而 Spring Boot 并不知道原始请求是 HTTPS。

5.1 错误典型做法（千万别这么做）

有些同学会在代码里写死 String baseUrl = "https://your-domain.com"。一旦环境变化（比如换域名、换证书），就需要重新编译，极度不优雅且易出故障。

5.2 正确的配置方法

我们需要利用 Nginx 传过来的 X-Forwarded-Proto 请求头，让 Spring Boot 通过 ForwardedHeaderFilter 重写当前的 Scheme。

application.yml 配置（推荐）：

server:
port: 8080
# 告诉 Spring Boot 信任特定的代理头
forward-headers-strategy: framework
# 或者使用 native 模式
# forward-headers-strategy: native

在 Spring Boot 2.2+ 和 3.x 中，server.forward-headers-strategy 替代了旧版的 Tomcat 自定义配置 。

5.3 验证 Java Controller

我们写一个接口，直接返回当前请求的上下文信息，验证是否生效。

package com.example.demo.controller;

import jakarta.servlet.http.HttpServletRequest;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;

import java.util.HashMap;
import java.util.Map;

@RestController
public class SecurityTestController {

@GetMapping("/api/check-protocol")
public Map<String, Object> checkProtocol(HttpServletRequest request) {
Map<String, Object> result = new HashMap<>();
// 判断 Scheme 是否被正确改写为 https
result.put("scheme", request.getScheme());
result.put("isSecure", request.isSecure());
result.put("serverPort", request.getServerPort());
result.put("remoteAddr", request.getRemoteAddr());
// 打印 X-Forwarded 头信息
result.put("X-Forwarded-Proto", request.getHeader("X-Forwarded-Proto"));
return result;
}
}

使用 curl 测试响应示例：

curl https://your-domain.com/api/check-protocol -k

预期 JSON 响应：

{
"scheme": "https",
"isSecure": true,
"serverPort": 8080,
"remoteAddr": "你的真实客户端 IP",
"X-Forwarded-Proto": "https"
}

看到 "scheme":"https" 且 "isSecure":true，说明后端已正确感知到 HTTPS 请求，可以放心地进行 OAuth2 回调、302 重定向等操作了。

6. 进阶安全场景：mTLS 双向认证

常规 HTTPS 是单向认证（客户端验证服务端）。在微服务或金融级内部接口调用场景中，我们还需要服务端验证客户端，这就是 mTLS（双向 TLS） 。

6.1 Nginx 开启 mTLS 验证

只需在 Nginx 配置的 server 块中加入：

# 开启客户端验证
ssl_verify_client on;
# 指定受信任的客户端 CA 证书链
ssl_client_certificate /etc/nginx/ssl/client_ca.crt;
# 验证深度
ssl_verify_depth 2;

当客户端（如另一个微服务）发起请求时，必须携带由该 client_ca.crt 签发的客户端证书，否则 Nginx 会直接返回 400 Bad Request。

6.2 Spring Boot 解析客户端证书

即使 Nginx 终止了 SSL，我们也可以通过 Nginx 将客户端证书信息透传给 Spring Boot。

Nginx 新增透传头：

proxy_set_header X-Client-Cert $ssl_client_escaped_cert;

Spring Boot 解析示例：

@GetMapping("/api/client-cert")
public String getClientCert(@RequestHeader(value = "X-Client-Cert", required = false) String clientCert) {
// 注意：clientCert 是经过 URL 编码的 PEM 格式证书
// 生产环境中需要 Base64 解码并验证证书属性
System.out.println("Received Client Cert: " + clientCert);
return "Client Certificate Received!";
}

7. 故障排查与自动化运维

7.1 生产环境常见报错及解决

7.2 无人值守轮换脚本 (Crontab)

Let’s Encrypt 证书有效期 90 天，我们设置 每天凌晨 2:30 自动检测并续期 。

编辑 crontab：

crontab -e

添加以下任务：

# 每天凌晨 2:30 执行 acme.sh 续期脚本，并自动重载 Nginx
30 2 * * * /root/.acme.sh/acme.sh –cron –home /root/.acme.sh > /var/log/acme_renew.log 2>&1

8. 总结与技术升华

“安全是无声的承诺。”

我们花在配置 HTTPS、HSTS、CSP 上的每一分钟，都是在为用户的隐私和服务的稳定性做基建。当用户访问你的页面看到那枚绿色的小锁时，其实是对你专业度的第一印象。

今天我们不仅完成了 证书的申请与安装，还将 Nginx 配置到了生产级强度，并解决了 Spring Boot 后端协议感知 的核心痛点，最后还触及了 mTLS 及自动化轮换。

以上配置均基于 Nginx 1.24 和 Spring Boot 3.2.x，如果你在实战中遇到任何问题，欢迎在评论区留言，我会尽力帮忙排查。

如果本文帮到了你，请务必：

评论（聊聊你在证书配置中踩过的坑）

我是饺子，我们下期见！ 👋

免责声明：本文提供的配置仅供参考，生产环境请根据自身业务场景进行充分测试。建议定期关注 Mozilla SSL Configuration Generator 获取最新的安全配置指南。