Nginx: forzar SSL en una ruta, no SSL en otras

¿Cómo configuro el archivo conf de Nginx para forzar SSL en solo una de las rutas en mi sitio y no SSL en el resto?

Por ejemplo, quiero que todas las URL en / user sean https, pero el resto de las URL sean http.

Para la primera parte tengo:

rewrite ^/user(.*) https://$http_host$request_uri?;

No quiero usar "si". Supongo que aprovecharía el orden de operación, pero no quiero terminar en un bucle.

En su configuración nginx, debe tener dos áreas de "servidor". Uno para el puerto 80 y otro para el puerto 443 (no SSL y SSL). Simplemente agregue una ubicación en su sitio web que no sea SSL para redirigir a su página SSL.

server {
    root /var/www/
    location / {
    }
    location /user {
        rewrite ^ https://$host$request_uri? permanent;
    }
}

reenviará todo el tráfico que termina en / usuario a su https: // servidor.

Luego, en su servidor 443, usted hace lo contrario.

server {
    listen 443;
    root /var/www/
    location / {
        rewrite ^ http://$host$request_uri? permanent;
    }
    location /user {
    }
}

Nginx permite procesar tanto HTTP como HTTPS dentro del mismo serverbloque. Por lo tanto, no tiene que duplicar las directivas para ambos y puede redirigir la ruta que desea proteger

server {
  listen 80 default_server;
  listen 443 ssl;
  ... ssl certificate and other configs ...

  location /user {
    if ($scheme = 'http') {
      rewrite ^ https://$http_host$request_uri? permanent;
    }
  }

  ... your basic configuration ...
}

Asegúrese de no poner ssl onlínea allí porque romperá HTTP simple.

Opcionalmente, puede redirigir todas las demás solicitudes de HTTPS a HTTP de la misma manera:

if ($scheme = 'https') {
  rewrite ^ http://$http_host$request_uri? permanent;
}

ACTUALIZACIÓN : como Alexey Ten señala amablemente en la sección de comentarios, verificar schemecada solicitud no es una idea muy brillante. Debe seguir la forma declarativa de configurar su nginx. En este caso, declare dos bloques de servidor con redireccionamientos location, mueva la lógica común a un archivo separado y includeen ambos. Entonces la respuesta de GruffTech es mejor.