Nginx 中怎么配置 proxy_pass 实现多租户系统的数据隔离代理-Nginx-PHP中文网

Nginx通过proxy_pass实现多租户数据隔离的核心是请求路由分流而非自身隔离，按Host、路径前缀或Token提取租户标识并转发至对应后端，后端负责实际数据隔离。

nginx 中怎么配置 proxy_pass 实现多租户系统的数据隔离代理

在 Nginx 中用 proxy_pass 实现多租户系统的数据隔离代理，核心不是靠 Nginx 自身做“数据隔离”，而是通过请求路由层面的精确分流，把不同租户的流量导向对应后端服务（如独立实例、带租户标识的 API 网关或带租户上下文的微服务），从而为上层业务的数据隔离提供网络层支撑。

按 Host 或子域名路由到不同后端

这是最常见、最清晰的多租户隔离方式。每个租户拥有独立子域名（如 tenant-a.example.com、tenant-b.example.com），Nginx 根据 Host 头分发请求：

server {
    listen 80;
    server_name tenant-a.example.com;
    location / {
        proxy_pass https://backend-tenant-a;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
    }
}
<p>server {
listen 80;
server_name tenant-b.example.com;
location / {
proxy_pass <a href="https://www.php.cn/link/9215b69bf3fc8955f31f72c4bd4e577a">https://www.php.cn/link/9215b69bf3fc8955f31f72c4bd4e577a</a>;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
}
}</p>

说明：后端服务（backend-tenant-a 等）需各自维护独立数据库或租户感知逻辑；Nginx 只负责“不混淆地转发”。

按路径前缀提取租户标识并透传

适用于统一域名 + 路径区分租户的场景（如 example.com/tenant-a/api/users）。需用 rewrite 截取租户名，并通过自定义 Header 透传给后端：

location ~ ^/(?<tenant>[a-zA-Z0-9-_]+)/api/ {
    # 去掉租户前缀，重写路径
    rewrite ^/(?<tenant>[a-zA-Z0-9-_]+)/(.*)$ /$2 break;
<pre class="brush:php;toolbar:false;"># 将租户名作为 Header 透传
proxy_set_header X-Tenant-ID $tenant;

# 转发到共享后端（该后端需解析 X-Tenant-ID 并隔离数据）
proxy_pass http://shared-api-backend;
proxy_set_header Host $host;

}

CPA Update - Secure CLI Proxy API Maintenance

安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。

下载

关键点：
• 正则命名捕获 (?<tenant>...)</tenant> 提高可读性
• rewrite ... break 避免循环，且不改变原始 URI 结构供后端使用
• 后端必须依赖 X-Tenant-ID 做 DB Schema 切换、租户上下文注入等

结合 JWT 或 Cookie 提取租户信息做动态代理

当租户身份藏在 Token 或登录态中，可用 auth_request 模块或 OpenResty 的 Lua 脚本解析并决策路由。纯 Nginx 需借助第三方模块，但更推荐轻量方案：

用 Nginx 的 map 指令从请求头（如 Authorization）提取租户字段（需 Token 格式固定，例如 Bearer t-a:xxx）
将提取结果映射为 upstream 名称，再配合 proxy_pass 动态转发

示例（简化）：

map $http_authorization $upstream_backend {
    ~*Bearer\s+t-a:  backend-tenant-a;
    ~*Bearer\s+t-b:  backend-tenant-b;
    default          backend-default;
}
<p>server {
location / {
proxy_pass <a href="https://www.php.cn/link/417dedd041fefe5dbdea9cd22d424d86">https://www.php.cn/link/417dedd041fefe5dbdea9cd22d424d86</a>;
proxy_set_header Host $host;
}
}</p>

注意：此方式对 Token 格式强依赖，生产环境建议用 OpenResty 或前置认证网关处理复杂解析。

安全与隔离强化建议

仅靠路由转发不等于数据隔离，Nginx 层需配合以下措施防越权和误连：

禁用 proxy_redirect 默认行为，避免后端返回的跳转响应暴露内部地址：proxy_redirect off;

严格限制允许的 Host 头，拒绝非法域名请求：

if ($host !~ ^(tenant-a\.example\.com|tenant-b\.example\.com)$) {
    return 444;
}

所有 proxy_pass 目标使用 upstream 块定义，便于健康检查与负载均衡，不直写 IP+端口
租户专用 upstream 应配置独立 proxy_buffer 和超时，避免一个租户慢拖垮全局

真正实现数据隔离，最终依赖后端服务的设计——Nginx 是守门人，不是隔离墙。它的任务是确保请求“不走错门”，而每扇门后怎么管理数据，由应用层决定。