防止后端多虚拟主机混淆，关键是在每层代理中用proxy_set_header Host $http_host;透传原始Host头，禁用$proxy_host，并配合X-Forwarded-Proto和X-Forwarded-Host校验，避免因Host被篡改导致404、跳转错乱等问题。
要防止后端多虚拟主机混淆，核心是让每个请求携带的 Host 头准确反映客户端真实访问的域名，且全程不被代理层篡改或覆盖。后端（如 Nginx、Apache、Spring Boot 等）依赖这个头做站点路由、静态资源定位、Cookie 域名设置和重定向生成——一旦它变成 127.0.0.1:8080 或 backend-svc，就会全部落到默认虚拟主机上，导致 404、跳转错乱、跨域失败等问题。
必须在每层代理中显式透传原始 Host
Nginx 默认会用 $proxy_host 覆盖 Host 头，这不是客户端意图。你不能只配最后一层，而要确保每一级反向代理都主动写入：
- 第一层（如公网入口 Nginx 或 CDN 后网关）：在
location块里加proxy_set_header Host $http_host; - 中间层（如服务网格网关或负载均衡器）：同样位置加同一行，不可省略
- 最后一层（直连应用的 Nginx）：仍需配置，否则后端收到的是 upstream 地址而非域名
选对变量：优先用 $http_host，慎用 $host
Host 头是否带端口，直接决定后端能否正确构造 URL 和校验签名：
FastAPI Flask Proxy
下载
FastAPI + Flask 混合部署最佳实践，解决路由定义、API 代理等常见问题，适用于同时运行 FastAPI API 与 Flask 前端的场景。
-
$http_host：原样复制客户端发来的 Host（如admin.example.com:8443），含端口、大小写和冒号，适合 HTTPS 非标端口、API 签名、OAuth 回调等场景 -
$host：自动剥离 80/443 端口（api.example.com:443→api.example.com），仅适用于标准协议且后端不校验端口的简单路由 - 绝对禁用
$proxy_host：它指向内部服务名或 IP，与用户访问意图完全无关
配合可信代理头，辅助后端交叉验证
单靠 Host 不够，尤其在安全要求高的多租户系统中。建议同步添加：
-
proxy_set_header X-Forwarded-Proto $scheme;：告诉后端是 http 还是 https，避免混合内容或强制跳转异常 -
proxy_set_header X-Forwarded-Host $http_host;：提供一份原始 Host 的备份，后端可比对Host与X-Forwarded-Host是否一致，防篡改
排查常见静默失效点
配置写了≠生效。容易忽略但影响严重的细节包括：
- 同一
location中多次出现proxy_set_header Host，后写的会覆盖前写的 - 启用了
underscores_in_headers on;，若其他自定义头含下划线（如X_User_ID），Nginx 可能整条请求头解析失败 - 后端框架（如某些 Spring Boot 版本）会在接收后主动重写
Host为本地地址，需查后端日志确认是“没收到”还是“收到后被覆盖” - 未运行
nginx -t验证语法，也未执行nginx -s reload生效
