怎么使用变量动态拼接 proxy_pass 目的地址实现高度可定制的转发-Nginx-PHP中文网

nginx可通过resolver+变量、rewrite+map、白名单校验及openresty lua扩展实现安全动态反向代理；需避免硬编码路径、禁用用户可控scheme、配合dns解析与静态映射防ssrf。

怎么使用变量动态拼接 proxy_pass 目的地址实现高度可定制的转发

Nginx 本身不支持在 proxy_pass 中直接使用变量拼接完整 URL（如 http://$host:$port/path），但通过合理配置和特定语法，可以实现高度动态、可定制的反向代理转发。关键在于理解 Nginx 的变量解析时机、proxy_pass 的两种写法（带/与不带/）、以及如何配合 rewrite、map 和 resolver 等指令达成目标。

✅ 使用带变量的 proxy_pass（需启用 resolver）

当你要将域名部分动态化（例如根据请求头或参数决定后端服务名），必须用变量且该变量含主机名（非 IP），此时 proxy_pass 必须配合 resolver 指令，否则会报错 “invalid URL prefix” 或 502。

定义 DNS 解析器（推荐使用本地 DNS 或 Consul DNS）：
resolver 127.0.0.11 valid=30s;（Docker 默认）或 resolver 8.8.8.8 ipv6=off;
用 map 或 set 构建目标 host 变量：
map $arg_backend $upstream_host {
default "api-v1.example.com";
"v2" "api-v2.example.com";
}
在 location 中使用变量：
proxy_pass http://$upstream_host$request_uri;
注意：这里不能加 trailing slash（即不能写成 http://$upstream_host/），否则 Nginx 会丢弃原始 URI 路径。

✅ 动态拼接路径 + 保留原始请求路径

若需根据变量修改后端路径前缀（如按租户 ID 转发到不同子路径），应避免在 proxy_pass 后硬编码路径，而是用 rewrite 预处理 $uri，再用无路径的 proxy_pass。

CPA Update - Secure CLI Proxy API Maintenance

安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。

下载

例：把 /tenant-a/api/users → 转发到 http://backend/tenant-a/api/users
location / {
rewrite ^/(tenant-\w+)/(.*)$ /$1/$2 break;
proxy_pass http://backend;
}
更灵活方式：用 map 提取并构造路径前缀：
map $uri $tenant_path {
~^/(tenant-\w+)/ $1;
default "";
}
...
proxy_pass http://backend$tenant_path$request_uri;

✅ 安全可控：校验变量值，防 SSRF 和路径遍历

动态拼接极易引入安全风险。务必对变量来源做白名单校验，禁用非法字符和危险协议。

用 map 做静态映射比运行时 set 更安全（编译期确定）：
map $arg_service $allowed_upstream {
  default ""; # 默认为空，触发 444 或 400
  "auth" "auth-svc:8080";
  "order" "order-svc:8080";
}
拦截非法 host 变量：
if ($allowed_upstream = "") { return 400; }
（注意：if 在 location 外不推荐，应尽量放在 location 内或用 map 替代）
禁止用户控制 scheme：
始终用 http:// 或 https:// 显式指定，不要拼接 $scheme://...，防止 $scheme 被污染为 file:// 等。