关键在于路径控制刚性、头信息传递确定性、调度逻辑隔离性三者统一：入口层用带尾斜杠location自动截断路径，中间层显式rewrite归一化；头信息逐层显式声明，禁用变量proxy_pass；upstream仅直连后端，命名location+internal封装逻辑。
避免多层级反向代理中因配置置换导致调度失控，关键在于**路径控制刚性、头信息传递确定性、调度逻辑隔离性**三者统一。不是靠“层层加 proxy_pass”堆叠，而是让每一层只做一件事，并明确知道它在改什么、传什么、不碰什么。
严格约束每层的 URI 重写行为
路径错位是嵌套失控最常见诱因——上层没剥离前缀，下层又重复拼接，最终后端收到 /v1/v1/users 这类畸形路径。
- 入口层（如公网 Nginx）：用带尾斜杠的 location + proxy_pass 自动截断，例如
location /api/ { proxy_pass http://mid-ng/; }—— 这会把/api/user转为/user发给 mid-ng - 中间层（如内网网关 Nginx）：若仍需按业务域分发，用 命名 location + internal 避免外部干扰，或直接用
rewrite ^/user(.*)$ /$1 break;显式归一化，不依赖 proxy_pass 的隐式逻辑 - 禁用变量拼接 proxy_pass：像
proxy_pass http://$backend;这类写法会关闭proxy_redirect自动重写，且无法做静态路径校验，生产环境应杜绝
头信息透传必须逐层显式声明，不依赖默认
多层代理中，X-Forwarded-For 可能被伪造，Host 可能变成内部地址，X-Real-IP 若未在第一层设好，后续层就无法还原真实客户端 IP。
- 入口层必须设：
proxy_set_header X-Real-IP $remote_addr;和proxy_set_header Host $host;（不是$http_host，防端口泄露） - 中间层必须继承并补全：
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;（追加而非覆盖）、proxy_set_header X-Forwarded-Proto $scheme; - 所有层禁用
proxy_pass_request_headers off;；若需精简头，用proxy_hide_header控制响应头，而非砍请求头
upstream 调度逻辑必须物理隔离，不跨层共享
不能让入口 Nginx 的 upstream 直接指向另一台 Nginx 的 upstream 名称（如 proxy_pass http://mid-ng 却让 mid-ng 自己再定义同名 webserver），这会造成调度策略混叠、健康检查失效、权重不可控。
- 每台 Nginx 的 upstream 块仅管理它**直连的后端实例**（真实服务或下一级代理 IP+端口），不引用其他 Nginx 的 upstream 名称
- 若需统一健康检查策略，用主动
health_check指令探测各层下游的/healthz，而不是靠max_fails/fail_timeout被动试错 - 跨层故障转移用
backup参数定义备用链路（如主链路是 mid-ng:8080，backup 是 fallback-ng:8080），不依赖上游的 upstream 内部状态
用命名 location + internal 实现逻辑分段，避免 location 匹配冲突
当多级代理共用一台 Nginx（如同时做入口和网关），不同路径规则可能互相覆盖。用命名 location 可将转发逻辑封装为独立单元，不参与常规匹配。
- 例如定义：
location @to_api_backend { proxy_pass http://api_cluster; proxy_set_header ...; } - 主 location 中用
try_files /nonexistent @to_api_backend;或error_page 418 = @to_api_backend;触发，确保该逻辑只在明确指令下执行 - 配合
internal;指令，禁止客户端直接访问命名 location，提升安全性与可维护性
