nginx代理应结构化分层：用server块隔离业务域，location分层定义行为策略，upstream抽象后端依赖，include和map实现配置复用与动态适配。
配置 Nginx 代理支持复杂多变的后端业务逻辑，关键不是堆功能，而是靠结构化分层——把不同职责切分开，让每一块只干一件事，改起来不牵一发而动全身。
用 server 块划清业务边界
每个对外暴露的业务域（比如 api.example.com、admin.example.com、static.example.com）都应独占一个 server 块。这样 SSL 证书、访问控制策略、日志路径、限流规则就能各自独立，互不影响。
同一域名若需同时支持 HTTP 和 HTTPS，不要写在一个 server 里加 if ($scheme = http) 判断——容易出错且性能差。直接拆成两个 server：一个 listen 80，一个 listen 443 ssl。
泛域名场景（如 *.example.com）可用 server_name _; 配合 map 指令做动态路由，但要限制可接受的子域名范围，避免被恶意利用。
用 location 分层定义行为策略
location 是执行具体代理逻辑的单元，不是单纯匹配路径。它的顺序和类型决定行为优先级：
-
= /healthz：精确匹配，直接return 200，不走 upstream，响应最快 -
^~ /api/：前缀匹配，代理到 API 集群，建议关闭缓冲：proxy_buffering off，避免流式接口卡顿 -
~* \.(js|css|png)$：正则匹配静态资源，配expires 1y和Cache-Control public -
^~ /ws/或~ ^/ws/：专用于 WebSocket，必须加：proxy_http_version 1.1、proxy_set_header Upgrade $http_upgrade、proxy_set_header Connection "upgrade"
用 upstream 抽象后端服务依赖
把后端服务地址统一定义在 upstream 块里，命名清晰（如 upstream api_v2_cluster），多个 location 或 server 可复用它。修改节点 IP、增删实例、调整权重，只需改一处。
对有状态服务，启用会话保持：
-
ip_hash;（注意 IPv6 下需配合hash $binary_remote_addr） - 或
hash $cookie_session_id consistent;（需前端种 cookie）
关键服务建议开启健康检查：health_check interval=3 fails=2 passes=2，再配合 max_fails=2 fail_timeout=30s，自动隔离故障节点。
用 include 和 map 实现配置复用与动态适配
单个 nginx.conf 超过 500 行就该拆了。把通用段落（如日志格式、缓存策略、安全头）抽成 include conf.d/common/*.conf；按环境区分的变量（如测试环境 API 地址、生产环境 CDN 域名）用 map 定义：
map $host $backend_url {
default "http://default-backend:8080";
~^dev\. example\.com$ "http://dev-api:8080";
~^prod\. example\.com$ "http://prod-api-v3:8080";
}
再在 proxy_pass 中引用 $backend_url，无需重启即可切换后端目标。
容器化部署时，还可结合 Docker 环境变量 + entrypoint 脚本，在启动时替换模板中的占位符（如 ${API_URL}），实现一份镜像跑遍开发、预发、生产环境。
