proxy_set_header Host $host 是多租户反向代理中租户识别与路由的核心配置，必须保留客户端原始域名以确保后端正确分发、鉴权、SSL匹配及日志审计，避免Host被覆盖或伪造导致跨租户安全风险。
在反向代理多租户环境中，proxy_set_header Host 不只是简单转发请求头，而是决定租户路由、身份识别和安全策略能否正确执行的核心配置。它直接影响后端服务如何识别“这个请求属于哪个租户”。
确保租户域名不被覆盖，维持虚拟主机路由
多租户系统常依赖 Host 头做租户分发（如 SaaS 平台：tenant-a.example.com → 租户 A；tenant-b.example.com → 租户 B）。Nginx 默认会把 Host 改为 $proxy_host（即后端地址，如 10.0.1.5:8080），导致后端无法区分租户。
正确写法：
-
proxy_set_header Host $host;—— 保留客户端原始域名（如acme.myapp.com） - 避免用
$http_host，因它可能为空（当客户端未发送 Host 头时），而$host会自动 fallback 到 server_name，更健壮
支撑租户级鉴权与白名单校验
很多多租户后端在入口层校验 Host 值是否在合法租户列表中，或结合 JWT 中的 aud 字段做二次匹配。若 Host 被篡改为 IP 或默认值，校验直接失败，所有租户请求均被拒。
典型场景：
- API 网关根据 Host 查找租户配置（数据库/缓存中 key 为
host:acme.myapp.com） - 租户专属 SSL 证书绑定逻辑依赖 Host 值触发 SNI 匹配
- 审计日志记录中需明确标注
tenant_id=acme，而该 ID 往往从 Host 解析得出
避免跨租户 Host 欺骗与路由污染
若未显式设置 Host，攻击者可能构造恶意请求头（如 Host: admin.myapp.com）绕过前端隔离，尝试访问其他租户管理接口。Nginx 显式重写 Host 并配合 underscores_in_headers on 和严格 server_name 匹配，可切断此类伪造路径。
安全加固建议：
- 在
server块中限定合法域名：server_name ~^(?<tenant>[a-z0-9\-]+)\.myapp\.com$;</tenant> - 配合
map指令预校验 Host 是否注册：map $host $valid_tenant { default 0; "acme.myapp.com" 1; "beta.myapp.com" 1; }，再用if ($valid_tenant = 0) { return 403; } - 禁止透传原始 Host 头给后端以外的任何中间件（如不额外设
proxy_set_header X-Original-Host $http_host）
与 X-Forwarded-Host 协同实现全链路租户标识
当存在多级代理（如 CDN → Nginx → 后端网关），单靠 Host 头不足以还原原始租户上下文。此时应补充：
-
proxy_set_header X-Forwarded-Host $host;—— 记录最外层租户域名 - 后端服务优先读
X-Forwarded-Host（防中间层篡改），Fallback 到Host - 注意：不要混淆
X-Forwarded-Host和X-Forwarded-For，后者管 IP，前者管租户标识
不复杂但容易忽略：Host 头是多租户反向代理的“第一道租户身份证”，设错就等于让所有租户挤在同一个入口闸机里，后续隔离策略全部失效。
