nginx多租户域名隔离需通过独立server块、租户标识注入、缓存/限流资源拆分及安全加固实现。每个租户独享子域名、ssl证书、日志路径；用map校验租户合法性，proxy_set_header透传x-tenant-id；cache_key和limit_req zone按租户命名；响应头明示归属，静态资源与http方法严格管控。
Nginx 实现多租户域名隔离，本质是把不同租户的流量按域名精准分流、独立处理，并确保上下文不泄露、策略不交叉。关键不在“代理”本身，而在于如何用 server 块 + 变量 + 安全约束，构建出语义清晰、运维可控的隔离边界。
按子域名定义独立 server 块
这是最推荐、最稳定的隔离方式。每个租户一个专属子域名（如 tenant-a.api.example.com），Nginx 通过 server_name 显式绑定，天然实现 TLS、日志、限流、缓存的物理分离。
- 每个 server 块必须指定唯一 server_name，避免 fallback 到默认块
- SSL 证书按租户单独配置，支持 SNI，不共用泛域名证书
- access_log 和 error_log 路径需含租户标识，例如 /var/log/nginx/tenant-a-access.log
- 若用正则提取租户名（如 server_name ~^(?
[a-z0-9-]+).api.example.com$），务必配合校验逻辑
透传租户身份并校验合法性
仅路由不够，后端需要可靠知道“谁在调用”。Nginx 必须将租户上下文注入请求头，且拒绝非法值。
- 使用 proxy_set_header X-Tenant-ID $tenant;（正则提取）或 $http_x_tenant_id（Header 识别）
- 用 map 指令预定义合法租户范围，例如：
map $tenant $valid_tenant { default 0; "~^[a-z0-9-]{2,16}$" 1; } - 配合 if 判断拦截非法请求：if ($valid_tenant = 0) { return 400; }
- 所有日志格式中固定记录 $tenant 或 $http_x_tenant_id，便于审计追踪
隔离缓存与限流资源
共用缓存键或限流 zone 是跨租户污染的常见根源，必须按租户拆分。
- 缓存 key 必须含租户标识：proxy_cache_key "$tenant|$scheme|$request_method|$host|$request_uri";
- 每个租户声明独立 proxy_cache_path，例如：
proxy_cache_path /data/nginx/cache/tenant-a levels=1:2 keys_zone=cache_a:5m; - 限流 zone 按租户命名并单独启用：limit_req zone=tenant_a burst=50 nodelay;
- 敏感接口（如 /user/settings）应显式禁用缓存：location /user/settings { proxy_cache off; }
加固响应头与静态资源安全
租户隔离不止于请求，响应层也要体现归属并防御越权。
- add_header X-Served-By-Tenant "a"; 向客户端明示服务来源
- 禁用 autoindex，用 try_files $uri =404 防止目录遍历
- 对静态资源路径（如 /t/a/assets/）设置独立 root 或 alias，并限制文件系统权限
- 关闭不必要 HTTP 方法（如 PUT、DELETE），生产环境开启 HSTS 和严格 CSP
不复杂但容易忽略
