在同一组Nginx集群中实现部门级多租户隔离，关键在于利用server块、map变量、location路由等原生能力实现流量、配置与日志的彻底分离；需按子域名严格绑定部门、双通道识别租户、物理隔离配置与日志，并配套强化上游定义、错误响应与配置校验。
在同一组 Nginx 集群中实现部门级多租户隔离，关键不在于让 Nginx “支持多租户”，而在于用它的原生能力（server 块划分、map 变量、location 路由、header 注入、日志分离）把不同部门的流量、配置和可观测性彻底区分开。安全隔离不是靠一个开关，而是靠配置层面的层层设防。
按子域名严格绑定部门身份
每个部门分配唯一子域名（如 hr.example.com、finance.example.com），并在独立 server 块中显式声明：
- 使用 server_name hr.example.com finance.example.com，禁用泛匹配 fallback；避免未定义域名落入默认 server
- 为每个块单独配置 SSL 证书路径：ssl_certificate /etc/nginx/ssl/hr.crt，确保 SNI 正确分发
- 用正则提取租户名并校验合法性：server_name ~^(?
[a-z]{2,8})\.example\.com$ ，配合 map 过滤非法值 - 在 proxy_set_header 中注入可信上下文：proxy_set_header X-Dept-ID $dept，后端可直接信任该字段
路径与请求头双通道识别，拒绝模糊路由
当子域名不可控（如统一入口 api.example.com），必须通过路径前缀或请求头明确标识部门，且不允许降级处理：
- 路径前缀用 location ^~ /dept/hr/ 确保前缀优先匹配，再用 rewrite ^/dept/hr/(.*)$ /$1 break 剥离前缀透传干净路径
- 若用 header（如 X-Dept: hr），必须通过 map 映射后端 upstream，并对空值或非法值返回 400：map $http_x_dept $upstream { "" "invalid"; default "default-backend"; "hr" "hr-service"; }
- 禁止使用 if 判断 header —— 容易引发重写冲突和逻辑漏洞
配置与日志完全物理分离
隔离不止于路由，更体现在运维边界上：
- 每个 server 块指定独立日志路径：access_log /var/log/nginx/hr-access.log main，文件名含部门标识便于归档审计
- 限流策略按部门定义 zone：limit_req_zone $binary_remote_addr zone=hr_api:10m rate=100r/m，避免跨部门争抢配额
- 静态资源 location 单独配置，禁用执行权限：location ~* \.(js|css|png|jpg)$ { add_header X-Content-Type-Options nosniff; }
- WebSocket 请求头必须显式透传：proxy_set_header Upgrade $http_upgrade; proxy_set_header Connection "upgrade";
强化租户边界的配套措施
仅靠 Nginx 路由不能替代后端隔离，需同步加固：
- 所有 upstream 定义带部门前缀：upstream hr_backend { server 10.0.1.10:8000; }，防止误引用
- 在 error_log 中记录实际识别出的部门：error_log /var/log/nginx/error.log warn;，并在 custom log_format 中加入 $dept 字段
- 对非预期 host 或 dept 值，统一返回 444（关闭连接）或 403，不透出任何内部信息
- 定期检查配置语法并 reload：nginx -t && nginx -s reload，避免单个部门配置错误影响全局
