Caddy 设置 auto_https off 后仍无法通过 HTTP 访问

本地 Caddy 站点原本自动跳到 HTTPS，加入全局 auto_https off 后，HTTP 访问仍没有恢复。站点块仍写着 localhost 或某个域名时，这个选项并没有把站点协议切换成 HTTP。

auto_https off 关闭自动证书管理和 HTTP 到 HTTPS 的跳转。Caddyfile 根据站点地址推断的 HTTPS 协议仍然存在；如果又没有提供可用证书，HTTPS 握手也可能失败。出现这种组合时，应先核对站点地址、监听端口和请求协议，不要把“关闭自动 HTTPS”理解为“启用明文 HTTP”。

本文针对 Caddy 2 的 HTTP Caddyfile，主要处理只在本机访问的开发站点。公开服务、携带真实凭据的请求或跨机器传输，仍应保留合适的 HTTPS 配置。

站点地址决定协议，auto_https 管理另一层行为

下面这份配置没有显式选择 HTTP：

{
    auto_https off
}

localhost {
    respond "local test"
}

localhost 是带主机名的站点地址，默认仍按 HTTPS 处理。关闭自动管理不等于让它自动改用 HTTP 端口，也不能据此认定所有监听端口都已经消失。

同样，localhost:8080 不应被当作强制 HTTP 的写法：带主机名且没有明确 HTTP 协议时，非标准端口也可以使用 HTTPS。客户端到底应发 HTTP 还是 HTTPS，不能只按端口号看起来像开发端口来猜。

先核对实际运行实例加载的 Caddyfile、启动参数与日志。浏览器可能受旧跳转缓存或 HSTS 影响，应对照请求最终使用的协议；Docker 端口映射或前置代理也可能把外部端口转到另一内部端口。这些因素不能通过继续叠加 auto_https 选项消除。

本机 HTTP 开发入口写出协议，并限制监听地址

对于明确只需要本机明文 HTTP 的测试服务，可以使用以下完整站点配置：

http://127.0.0.1:8080 {
    bind 127.0.0.1
    respond "local HTTP test"
}

http:// 明确选择 HTTP，bind 127.0.0.1 将监听限制在本机 IPv4 回环地址。站点地址里的主机名或 IP 用于请求匹配，并不自动等价于只绑定那个网络接口，因此这里单独写出 bind。

配置不需要再加全局 auto_https off。若同一 Caddyfile 还管理其他 HTTPS 站点，保留那些站点的证书与自动化策略；不要为了一个开发入口关闭整份配置的证书续期。

这里只演示普通本机进程。Caddy 在容器内时，回环地址属于容器自身，宿主机的端口发布不意味着能访问容器回环监听；不要把这份本机限制配置直接当作容器对外服务的完整部署方案。

用匹配的 Host 与明确协议访问

对上述本机测试配置，客户端应访问同一个 IP 和端口：

curl --silent --show-error \
  --connect-timeout 3 --max-time 5 \
  'http://127.0.0.1:8080/'

预期正文是 local HTTP test。这里没有跟随重定向，也没有跳过证书验证；请求本身明确采用 HTTP。若得到 3xx，先查看目标及当前实际加载的配置，不要让浏览器自动跳转掩盖请求到了哪里。

把 URL 改成 http://localhost:8080/ 不一定仍匹配这份站点配置。Caddyfile 中指定主机后会匹配 Host；localhost 和 127.0.0.1 不是同一个名称。诊断时保持请求地址与站点地址一致，再根据实际需要配置额外名称，而不是改成无主机限制的全接口入口来掩盖问题。

需要 HTTPS 时，恢复证书管理或明确提供证书

如果这个服务本来应当使用 HTTPS，不要通过改成 HTTP 来修复握手失败。检查为什么关闭了自动管理：需要自动签发与续期时，恢复相应策略；确实由外部流程提供证书时，则要按现有部署配置加载正确的证书与私钥，并承担续期责任。

仅希望不自动重定向 HTTP 请求时，auto_https disable_redirects 与 off 含义不同：它只关闭自动跳转，不关闭证书自动化。但它同样不把原来的 HTTPS 站点块转换为 HTTP 站点；需要提供 HTTP 内容时仍应明确配置相应入口。

本地 HTTPS 的客户端信任是另外一层。已有有效监听但客户端不信任本地 CA，应核对证书与信任设置，不能以 auto_https off 替代证书校验修复。

修改前后确认实际生效的配置

保存原配置，在测试环境先检查适配结果：

caddy adapt --config ./Caddyfile --adapter caddyfile --pretty

它将配置转换为 JSON，不会自动应用到运行实例。核对目标监听和路由是否符合预期；输出可能含其他站点的敏感配置，只在受控位置查看。适配成功也不代表端口未被占用或所有模块加载都已通过。

之后按当前服务的管理方式校验并重载，在日志中确认配置被实际实例接受，再从明确的 URL 验证响应。不要另起一个进程占用同一端口来替代服务重载检查。

回退时恢复保存的配置并按相同管理流程应用。无需删除 Caddy 的证书存储或客户端信任记录；这些状态的删除并不能修复协议选择，还可能影响同一实例中的其他站点。