nginx禁止嵌套include，仅允许在http块末尾一级引入conf.d/、upstreams/、snippets/三类文件；所有子配置中不得含include指令，须通过目录职责划分替代嵌套逻辑，并用grep和find命令检测违规。
直接禁止嵌套 include。Nginx 本身不支持递归展开，所谓“嵌套”只是人为在被 include 的文件里再写 include —— 这会导致配置加载不可控、reload 变慢、语法错误定位困难，根本不是维护问题，而是结构违规。
只允许一级 include，且位置固定
所有 include 必须写在 http 块末尾，格式统一为：
include /etc/nginx/conf.d/*.conf;include /etc/nginx/upstreams/*.upstream;include /etc/nginx/snippets/*.conf;
不允许在任何 .conf 文件内部再出现 include 指令，包括 sites-enabled/ 下的域名配置、snippets/ 中的复用片段、甚至全局头配置文件。
用目录职责划分替代嵌套逻辑
把“想嵌套”的需求转为明确的目录分工：
-
conf.d/：只放按功能分层的网关级配置，如00-global-headers.conf、10-auth.conf、20-rate-limit.conf，靠文件名前缀控制加载顺序 -
upstreams/：只放 upstream 定义，每个文件对应一个服务集群，不混入 server 或 location -
snippets/：只放可安全复用的纯参数片段，如ssl-params.conf、proxy-common.conf，内容不含块结构（不用 server、location） -
sites-enabled/：只放软链接，指向sites-available/中的单 domain 配置，每个文件仅含一个server块，开头注释标明服务名和环境
检查与验证方法
运行以下命令快速识别违规 include：
-
grep -r "include" /etc/nginx/sites-enabled/ /etc/nginx/conf.d/ /etc/nginx/snippets/ --include="*.conf" | grep -v "conf.d/*.conf"—— 查出非主入口处的 include -
find /etc/nginx -name "*.conf" -exec grep -l "^\s*include" {} \;—— 列出所有含 include 的配置文件，人工确认是否在 http 块外或子文件中 -
nginx -t -v输出会显示实际加载了哪些文件，观察是否有意料之外的路径或重复加载
发现嵌套后，把子 include 内容直接复制进父文件，或按职责拆到对应目录，再删掉原 include 行。
不复杂但容易忽略
