域名与 HTTPS 的接入边界

当前网关有哪些路径？

现有发行网关代理 /api/ 并保留原路径与请求；对象入口仅允许指定公开桶的 GET，私有桶无公开代理。

现有配置可作为入口边界的核对依据。正式环境可以由受控入口终止TLS，但证书获取、续期、域名解析和公网开放都需要环境负责人确认，不能把HTTP体验入口直接作为生产登录地址。

HTTPS接入后要检查什么？

项目	核对内容
证书	域名匹配、证书链和有效期
代理	Host和原协议信息传递准确
会话	Cookie作用域及安全属性符合真实入口
CSRF	修改请求携带正确令牌，拒绝分支有效
静态资源	Admin、PC、移动端路径及资源基址一致
私有路径	数据库、对象控制台和健康详情不公开

怎样验证入口而不修改业务？

先读网关健康，再分别读取应用健康和公开商品。管理员登录后只读当前身份与有权数据，并检查无权限入口。不要为了测试代理重复付款、退款或发货；这些操作需要独立测试环境与明确样本。

发生跳转和登录异常怎么排查？

记录原入口、Location、Cookie域和路径，核对HTTP/HTTPS是否被错误混用。敏感请求和签名对象地址不能进入普通访问日志。保留脱敏traceId与错误类别后再定位应用日志。