排查nginx代理中因uri自动解码导致的鉴权失败，需确认authorization、cookie、url路径及参数中的特殊字符（如%20、%e4%b8%ad、+、=）是否被意外解码；通过debug日志对比$request与$http_authorization定位问题；修复方式为改用rewrite...break配合proxy_pass直传原始uri，并启用underscores_in_headers on确保下划线header透传。
排查 Nginx 代理转发中因特殊字符编码转换导致的鉴权失败，核心在于确认请求头（尤其是 Authorization、Cookie）、URL 路径或查询参数中的特殊字符（如中文、空格、`+`、`/`、`=`、`%` 编码序列）在经过 Nginx 时是否被意外解码、重编码或截断。Nginx 默认会对 URI 进行一次规范化解码（normalization），这常是问题根源。
检查 Nginx 是否对 URI 做了非预期解码
Nginx 在匹配 location 和转发请求前，会自动对请求 URI 执行一次解码（例如将 %20 → 空格、%E4%B8%AD → “中”）。如果后端服务期望接收原始编码（比如某些 OAuth token 或签名 URL 中的 base64 字符串含 `+` `/` `=`），而 Nginx 提前解码再转发，就可能破坏签名或解析逻辑。
验证方法：
- 在 Nginx 配置中临时添加日志记录原始请求行：
log_format debug '$remote_addr - $remote_user [$time_local] "$request" $status $body_bytes_sent "$http_authorization" "$args"';access_log /var/log/nginx/debug.log debug; - 用 curl 发送含编码字符的请求（如
curl -H "Authorization: Bearer eyJhbGciOi...%2Babc%3D" http://example.com/api），查看日志中$request和$http_authorization的实际值是否已被解码。
禁用 URI 自动解码（关键修复）
若确认是解码导致的问题，可在对应 location 块中启用 merge_slashes off 并配合 proxy_pass_request_headers on，但更直接有效的是使用 proxy_pass 的“不带 URI”写法 + rewrite ... break 绕过 decode 步骤：
-
错误写法（触发解码）：
location /api/ { proxy_pass http://backend/api/; }
Nginx 会先解码 URI，再拼接/api/，导致路径中编码丢失。 -
推荐写法（保留原始编码）：
location /api/ { rewrite ^/api/(.*)$ /$1 break; proxy_pass http://backend; }
使用break阻止后续 rewrite，并让 Nginx 直接转发原始解码前的 URI 路径（需搭配underscores_in_headers on若涉及下划线 header）。
确保请求头和 body 不被篡改
部分鉴权依赖 Authorization、X-Signature 或 cookie 中的编码字符串。Nginx 默认透传 header，但要注意：
- 检查是否启用了
underscores_in_headers on（某些签名 header 含下划线）； - 避免使用
proxy_set_header覆盖原始 header（如误写proxy_set_header Authorization $http_authorization;可能触发二次处理）； - 若后端依赖原始 query string（如含
%2B），确保未开启proxy_redirect或rewrite对$args做修改； - 对于 POST 请求，确认未启用
proxy_buffering on导致 body 流式转发异常（极少见，但大 payload + 特殊字符时可试关缓冲）。
对比后端收到的实际请求
最可靠的方式是让后端打印原始 HTTP 请求的完整字节（包括 headers 的 raw key/value、path、query）。例如在 Node.js 中用 req.rawHeaders，Java Spring 中用 HttpServletRequest.getQueryString() 获取未解码字符串。将该输出与 Nginx access log 中记录的字段逐一对比，定位哪个环节发生了编码变化。
常见线索：
- 后端收到的
Authorization中+变成空格 → Nginx 或后端容器（如 Tomcat）双重解码； - URL 中
%2F（即/）变成/导致路径层级错乱 → Nginx location 匹配阶段已解码； - Base64 token 末尾
=消失 → Nginx 或 upstream server 将其视为参数分隔符截断。
