Cloudflare如何实现HTTP自动跳转HTTPS？

Question

常见问题： 启用Cloudflare的“Always Use HTTPS”规则后，部分页面仍通过HTTP加载或出现重定向循环（ERR_TOO_MANY_REDIRECTS），尤其在源站已配置HTTPS或使用了自定义CDN/反向代理时。根本原因常是SSL/TLS模式（如“Flexible”模式下Cloudflare与源站间为HTTP通信）与源站响应头（如`Strict-Transport-Security`或`Location`重定向）冲突；或源站应用层（如WordPress、Nginx）未正确识别`CF-Visitor`/`X-Forwarded-Proto`头部，导致自行发起重复HTTPS跳转。此外，Page Rule中多个重定向规则叠加、或与Workers脚本中的`response.redirect()`逻辑冲突，也会破坏跳转链路。如何安全验证并排查真实跳转路径（区分Cloudflare边缘跳转 vs 源站跳转），同时避免混合内容与HSTS预加载风险，是实际迁移中高频踩坑点。

Answer 1

```html

一、现象层：识别ERR_TOO_MANY_REDIRECTS的典型表征

浏览器报错ERR_TOO_MANY_REDIRECTS通常表现为：页面白屏、F12 Network面板中出现连续5+次301/302跳转（如http:// → https:// → http:// → ...），或Chrome地址栏闪烁跳变。关键线索包括：跳转链中混杂HTTP与HTTPS协议、响应头中Location值未随X-Forwarded-Proto动态修正、以及CF-Ray头部值在多次跳转中保持不变（表明未离开Cloudflare边缘）。

二、协议层：SSL/TLS模式与源站通信路径解耦分析

Cloudflare SSL模式	CF→源站协议	源站需监听端口	典型风险场景
Flexible	HTTP	80	源站若强制301到HTTPS，将触发循环（CF发HTTP请求，源站返回301至HTTPS，CF再发HTTPS请求…）
Full	HTTPS（无证书校验）	443	源站若未正确配置TLS SNI或证书过期，CF边缘可能降级为HTTP回源，引发隐式协议不一致
Full (strict)	HTTPS（严格证书校验）	443	源站证书不可信时CF直接526错误，但若误配为Full模式则退化为循环重定向

务必通过curl -v https://yoursite.com -H "Host: yoursite.com"观察* Connected to ... port 443与< HTTP/2 301之间的协议协商日志，确认真实回源行为。

三、应用层：源站框架对代理头的识别缺陷排查

WordPress、Laravel、Django等常见框架默认忽略X-Forwarded-Proto，导致$_SERVER['HTTPS'] === 'off'始终成立。修复方案需分层实施：

• Nginx层：在server块中添加set $real_scheme $http_x_forwarded_proto;与fastcgi_param HTTPS $real_scheme;
• PHP应用层：WordPress需在wp-config.php顶部插入：
  if ($_SERVER['HTTP_X_FORWARDED_PROTO'] === 'https') { $_SERVER['HTTPS'] = 'on'; }
• Node.js（Express）：app.set('trust proxy', true); app.enable('trust proxy');

四、规则层：Page Rules与Workers的重定向逻辑冲突诊断

使用以下Mermaid流程图定位跳转发起方：

flowchart TD
    A[Client Request] --> B{CF Page Rule Match?}
    B -->|Yes| C[CF Edge Redirect 301]
    B -->|No| D{CF Worker Attached?}
    D -->|Yes| E[Worker executes response.redirect\(\)]
    D -->|No| F[Pass to Origin]
    C --> G[Browser Follows]
    E --> G
    F --> H[Origin may issue own redirect]
    H --> I{Origin checks X-Forwarded-Proto?}
    I -->|No| J[Loop: Origin 301 to HTTPS → CF re-encrypts → ...]
    I -->|Yes| K[Proper termination]

五、安全层：混合内容与HSTS预加载的防御性规避策略

启用Always Use HTTPS前必须执行三项硬性检查：

1. 运行curl -I http://yoursite.com | grep -i "strict-transport-security"，若存在max-age=31536000且已提交至HSTS Preload List，则任何HTTP访问将被浏览器强制拦截，此时必须确保所有子域HTTPS就绪；
2. 扫描混合内容：curl -s https://yoursite.com | grep -i "http://" | grep -v "http://yoursite.com"；
3. 禁用源站HSTS响应头（临时）：add_header Strict-Transport-Security "" always;（Nginx），待CF全局HTTPS稳定后再启用max-age=31536000; includeSubDomains; preload。

六、验证层：分阶段跳转链路可视化取证方法

采用curl -v --include --location --max-redirs 10组合命令，并结合CF-Connecting-IP与CF-Ray比对：

• 若所有跳转响应均含相同CF-Ray值 → 全部跳转由CF边缘完成；
• 若CF-Ray变化 + 出现X-Cache: HIT → 混合CF与源站跳转；
• 使用dig +short CNAME yoursite.com确认是否绕过CF（如CNAME指向其他CDN），此类场景需同步检查该CDN的HTTPS策略。

```