Nginx可同时代理ThinkPHP（HTTP/1.1）与gRPC（HTTP/2）服务，需协议隔离：方案一用独立端口（如8080）明文代理；方案二在443端口通过路径前缀分流，要求TLS+HTTP/2+grpc_pass；方案三至五分别适用于K8s Ingress、Sidecar及动态正则路由，均须禁用缓冲、增大body限制并确保后端支持对应协议。
如果您在Nginx环境下部署ThinkPHP应用，同时需对外暴露gRPC服务接口，则不能将gRPC流量混入ThinkPHP的HTTP路由中处理；gRPC基于HTTP/2二进制帧，而ThinkPHP是纯HTTP/1.1 PHP应用层框架，二者协议栈不兼容。以下是实现Nginx分别代理ThinkPHP Web服务与独立gRPC后端服务的多种配置方案：
一、分离监听端口：ThinkPHP走80/443 HTTP，gRPC走独立端口（如8080）
该方案通过端口隔离避免协议冲突，无需TLS强制要求，适用于开发与内网调试场景。Nginx以明文方式代理gRPC，后端gRPC服务也运行于明文模式。
1、编辑Nginx主配置文件（如 /usr/local/nginx/conf/nginx.conf），在http块内新增upstream定义：
2、在server块中为ThinkPHP配置标准PHP-FPM处理逻辑，确保root、index、location ~ \.php$等指令完整；
立即学习“PHP免费学习笔记（深入）”；
3、在同一配置文件中新增独立server块，监听8080端口并启用HTTP/2：
4、在该server块内配置gRPC专用location：
5、确认后端gRPC服务已监听127.0.0.1:9000且支持明文HTTP/2；
6、重启Nginx服务：systemctl restart nginx。
二、HTTPS+HTTP/2统一入口：TLS终止于Nginx，ThinkPHP与gRPC共用443端口
该方案使用路径前缀区分流量类型，Nginx在443端口上同时处理ThinkPHP的HTTPS请求和gRPC的HTTPS+HTTP/2请求，需严格匹配URI路径并启用SSL及HTTP/2。
1、准备有效的TLS证书与私钥，存放至/etc/nginx/ssl/grpc.example.com.crt与.key；
2、在server块中监听443端口并启用ssl与http2参数：listen 443 ssl http2;
3、配置SSL基础项：ssl_certificate、ssl_certificate_key、ssl_protocols TLSv1.2 TLSv1.3；
4、为ThinkPHP配置标准root与PHP处理location，例如匹配/或/admin/等路径；
5、为gRPC配置精确路径匹配location，例如：
6、在该location中设置：grpc_pass grpc://127.0.0.1:9001; 并禁用缓冲：grpc_buffering off;
7、增大请求体限制以适配gRPC大消息：client_max_body_size 100m;
三、Kubernetes Ingress方案：通过Nginx Ingress Controller代理ThinkPHP与gRPC
该方案适用于ACK或自建K8s集群，利用Ingress注解实现协议识别与路由分发，ThinkPHP Service与gRPC Service作为两个独立后端被同一Ingress资源管理。
1、确保集群已安装Nginx Ingress Controller v1.0.0+，且启用了--enable-dynamic-certificates；
2、为ThinkPHP应用创建Service与Deployment，Service类型为ClusterIP；
3、为gRPC应用创建独立Service，端口设为9000，协议字段明确标注为TCP；
4、创建Ingress资源，定义两个rules条目，分别对应ThinkPHP域名与gRPC域名；
5、在gRPC对应的rule中添加注解：nginx.ingress.kubernetes.io/backend-protocol: "GRPC"；
6、为gRPC rule配置TLS，并引用包含有效证书的Secret；
7、验证Ingress状态为Active，且Endpoints已关联到gRPC Pod IP。
四、Sidecar模式：Nginx与ThinkPHP容器共部署，gRPC代理嵌入同一Pod
该方案适用于微服务架构，ThinkPHP容器与Nginx容器共享网络命名空间，Nginx作为sidecar仅代理本Pod内gRPC服务，不暴露ThinkPHP至外部，提升安全边界。
1、编写Dockerfile构建含Nginx与ThinkPHP的多阶段镜像，或采用多容器Pod YAML；
2、在Pod中定义两个container：thinkphp-app与nginx-proxy；
3、Nginx配置中upstream指向localhost:9000（即同一Pod内gRPC服务端口）；
4、Nginx server监听0.0.0.0:8081，不暴露80/443，仅供Pod内部或Service ClusterIP访问；
5、为Nginx容器添加readinessProbe，检测其能否成功连接localhost:9000；
6、在Service中将targetPort设为8081，selector匹配该Pod标签；
7、客户端通过Service DNS访问ThinkPHP，另通过另一Service访问gRPC端点。
五、动态路径路由：基于gRPC方法签名正则匹配，复用ThinkPHP域名
该方案在单域名下依据gRPC请求的Content-Type与URI路径特征进行分流，要求Nginx ≥1.21.0，启用ngx_http_v2_module与正则高级匹配能力，避免客户端修改调用地址。
1、在server块中启用HTTP/2与SSL，配置完整TLS参数；
2、定义map块识别gRPC流量：
3、在location / 中使用if判断$is_grpc变量值，若为1则跳转至gRPC处理块；
4、单独定义location @grpc_proxy，内含grpc_pass、grpc_buffering off、grpc_read_timeout 3600等指令；
5、ThinkPHP主location保持不变，但需显式排除gRPC路径，例如使用location ^~ /api.grpc { deny all; }；
6、确保gRPC客户端请求头包含content-type: application/grpc，否则无法命中匹配；
7、测试时使用grpcurl -insecure -H "content-type: application/grpc" your-domain.com:443 list验证路由有效性。
