nginx location 块不支持嵌套，需通过最长前缀匹配、正则锚定、map 预分流和 auth_request 权限分支实现逻辑分层路由。
Nginx 的 location 块不支持语法嵌套，这是核心前提。你不能在 location /admin { } 内部再写一个 location /admin/settings { } —— Nginx 启动时会直接报错："location" directive is not allowed here。所谓“通过 location 嵌套实现复杂路由”，本质上是对匹配机制的误解。真正可行的是利用 匹配优先级、指令作用域和外部协作机制，模拟出逻辑分层效果。
用最长前缀匹配构建路由层级
Nginx 对所有 location 平级扫描，最终选择最长前缀匹配（或首个满足的正则）。你可以靠路径精度设计“隐式层级”，无需嵌套即可区分不同子路径的处理逻辑：
-
/api/匹配所有 API 根路径请求 -
/api/v2/更长，会优先生效于/api/ -
/api/v2/admin/更长，自动覆盖前两者
例如：
location /api/ {
proxy_pass http://default-api;
}
location /api/v2/ {
proxy_pass http://v2-api;
}
location /api/v2/admin/ {
proxy_pass http://admin-api;
auth_request /auth/admin;
}
访问 /api/v2/admin/users 会命中第三个块，不会进入前两个——这是匹配规则决定的，不是嵌套。
用正则 location 精确捕获动态路径
对含 ID、操作名等变量段的复杂路由（如 /users/123/delete），前缀匹配容易过宽。改用锚定正则，避免误匹配：
- ✅ 推荐：
location ~ ^/api/v2/(users|posts)/\d+/(delete|update)$ - ❌ 避免：
location /api/（会把导出、调试等非标准路径也卷入）
配合 limit_except 可进一步约束方法：
location ~ ^/api/v2/.+/delete$ {
limit_except POST { deny all; }
auth_request /auth/scope?op=delete;
proxy_pass http://backend;
}
用 map 提前分流，解耦路由决策
不要在 location 中反复用 if 判断 $arg_version 或 $http_x_role——if 在 location 内不支持 proxy_pass，且性能差。改用 map 在 http 块预计算目标：
map $arg_version $upstream {
default api_v1;
"v2" api_v2;
"beta" api_beta;
}
upstream api_v1 { server 10.0.1.10:8080; }
upstream api_v2 { server 10.0.1.11:8080; }
location /api/ {
proxy_pass http://$upstream;
}
这样路由逻辑集中、可读性强，且避免运行时拼接开销。
用 auth_request 实现权限驱动的路由分支
当路由行为依赖鉴权结果（比如 admin 路径走 A 后端，普通用户走 B），可将判断委托给内部鉴权端点：
location /dashboard/ {
auth_request /auth/check;
proxy_pass http://dashboard-service;
}
location = /auth/check {
internal;
proxy_pass http://auth-svc/dashboard-perm;
proxy_pass_request_body off;
proxy_set_header Content-Length "";
}
/auth/check 返回 200 才放行，否则返回 403——路由走向由鉴权服务动态决定，Nginx 仅做转发协调。
不复杂但容易忽略
