Nginx支撑多租户SaaS需以server_name为租户标识锚点，实现精准匹配、上下文透传、限流缓存隔离及模块化配置。须禁用默认server兜底，按精确/通配/正则顺序匹配，用$host联动proxy_set_header、limit_req_zone与proxy_cache_key，并通过独立conf文件与自动化reload保障扩展性与安全性。
要让 Nginx 稳定支撑多租户 SaaS 平台，server_name 不能只是简单罗列域名，而需兼顾匹配精度、租户识别、扩展性和安全性。核心是把域名作为租户身份的第一层标识，并与后续代理、限流、缓存等策略联动。
精准绑定租户域名，避免 fallback 冲突
每个租户必须有明确、排他的 server_name 配置，禁止依赖默认 server 块兜底。Nginx 匹配顺序为：精确匹配 > 左通配（*.example.com）> 右通配（mail.*）> 正则匹配 > 默认 server。建议按租户粒度独立配置：
- 使用精确域名或子域名，例如
server_name tenant-a.app.com;，不混用app.com和www.app.com在同一块中 - 若租户统一走子域名模式（如
shop-001.tenant.io），用正则捕获并设变量：server_name ~^(?[a-z0-9\-]+)\.tenant\.io$; - 在该 server 块开头加
return 444;或deny all;拦截未声明的 Host 请求，防止恶意 Host 头绕过
动态透传租户上下文到后端
仅靠 server_name 匹配还不够，必须把租户标识可靠传递给上游服务：
- 在 location 中设置
proxy_set_header Host $host;——确保 HTTP 层 Host 与请求一致 - 若后端依赖租户 ID 做路由或鉴权，可透传自定义头：
proxy_set_header X-Tenant-ID $tenant_id;（配合上一步正则变量） - 对 HTTPS 回源，必须启用 SNI 并同步域名：
proxy_ssl_server_name on;<br>proxy_ssl_name $host;
配合限流与缓存实现租户级资源隔离
server_name 是租户维度策略的锚点，所有隔离逻辑都应基于它构建：
- 限流区域按
$host定义，避免跨租户争抢：limit_req_zone $host zone=tenant_api:20m rate=100r/m; - 缓存键必须含
$host，防止响应串扰：proxy_cache_key "$host$request_uri$is_args$args"; - SSL 证书也按域名加载（推荐使用 acme.sh + wildcard 或自动化 reload），确保每个 server_name 对应有效证书
配置结构推荐：模块化 + 独立文件
不建议把所有租户写进一个 nginx.conf。采用逻辑隔离更易维护：
- 主配置中只引入租户目录：
include /etc/nginx/tenants/*.conf; - 每个租户一个文件，如
/etc/nginx/tenants/tenant-a.conf，内含完整 server 块 - 配合 systemd 或 CI 流水线做配置校验与热重载：
nginx -t && nginx -s reload
