proxy_pass 通过 map 映射可信后端、resolver 动态解析域名、rewrite 重写路径实现安全动态路由，禁止用户输入拼接、禁用 if 判断，严格白名单校验与 ssrf 防护。

proxy_pass 本身不支持运行时拼接完整 URL，但通过组合 map、resolver、rewrite 和变量，就能安全适配微服务动态地址。核心是把“决策逻辑”提前或隔离，避免在 proxy_pass 中直接拼字符串。

用 map 映射可信后端地址

这是最推荐的方式：把请求特征（如 Host、Header、参数）映射成预定义的、人工审核过的后端地址，杜绝注入和空值风险。

• 在 http 块中统一配置，比如按子域路由：
  

  map $host $upstream {<br>  ~^(?<sub>[\w-]+)\.example\.com$  $sub;<br>  default                      "default-service";<br>}</sub>

• 每个映射值都必须是合法 URI，含协议和结尾斜杠，例如 "http://user-svc.internal/" 或 "https://order-v2.prod/"
• location 中直接引用：proxy_pass $upstream;，不加额外路径，靠 URI 统一处理

配合 resolver 实现域名动态解析

当后端是弹性 IP 的云服务或 Kubernetes Service 时，需要每次请求前查 DNS，而不是启动时缓存。

FastAPI Flask Proxy

FastAPI + Flask 混合部署最佳实践，解决路由定义、API 代理等常见问题，适用于同时运行 FastAPI API 与 Flask 前端的场景。

下载

• resolver 必须和 set、proxy_pass 同级（建议写在 location 内），例如：resolver 114.114.114.114 valid=15s;
• set 变量只存纯域名（不含协议、端口、路径），如：set $svc "auth-svc.default.svc.cluster.local";
• proxy_pass 显式写出协议：proxy_pass https://$svc;，Nginx 会自动补默认端口并查 DNS
• valid 时间设为 10–30 秒较平衡：太短增加 DNS 查询压力，太长影响故障切换时效

路径重写 + 无路径 proxy_pass

若需按租户、版本等动态调整后端路径前缀，不要在 proxy_pass 里硬编码路径，而是先 rewrite，再用干净的 upstream 名转发。

• 例如按请求路径提取租户：rewrite ^/t-(\w+)/(.*)$ /$1/$2 break;
• 或用 map 提取并构造前缀：map $uri $prefix { ~^/t-(\w+)/ $1; default ""; }，然后 proxy_pass http://backend$prefix$request_uri;
• 关键点：proxy_pass 后不带路径（即不以 / 结尾），否则原始 URI 被丢弃；带 / 则保留原始路径结构

安全兜底：白名单校验与 SSRF 防护

所有变量来源必须可控，禁止用户输入直接参与拼接。

• 对 map 的 key 做正则约束，拒绝非法字符（如 ..、://、空格）
• 禁用 scheme 动态化，proxy_pass 只允许 http:// 或 https:// 开头，不接受 $scheme://
• 配合 add_header X-Debug-Backend $upstream; 临时调试，上线前移除
• 生产环境禁用 if 做复杂判断——易出作用域错误，优先用 map 或 OpenResty Lua