$request_uri本身不能改写Host头部，但可配合set、map和proxy_set_header Host实现基于路径的Host动态设置，解决因Host不匹配导致的403问题。
直接说结论：$request_uri 本身不能用来“改写 Host 头部”，它只负责传递原始请求路径，但可以配合 set、map 和 proxy_set_header Host 实现基于 URI 路径的 Host 动态设置——这正是解决某些上游服务因 Host 不匹配而返回 403 的关键手段。
为什么需要动态改写 Host？
很多 SaaS 或云存储类服务（如 MinIO、S3、OSS、私有对象网关）会校验 Host 头是否与实际 bucket 或租户域名严格一致。如果 Nginx 用固定 proxy_set_header Host example.com;，而请求是 /bucket-a/file.jpg，但上游期望 Host 是 bucket-a.storage.example.com，就会拒绝请求并返回 403 ——不是权限问题，是身份标识不匹配。
此时靠静态 Host 设置失效，必须让 Host 值随 $request_uri 中的路径成分实时变化。
用 $request_uri 提取路径段，再 set 变量拼 Host
核心思路：从 $request_uri 解析出业务标识（如 bucket 名、租户 ID），构造对应域名，再注入 Host 头。
- 确保开启
underscores_in_headers on;（尤其当路径含下划线时，如/my_bucket/xxx） - 用正则捕获 $request_uri 中的关键段，例如：
location ~ ^/([^/]+)/(.*)$ - 在 location 内用
set $bucket_name $1;提取第一级路径作为 bucket 名 - 拼接完整 Host：
set $upstream_host "$bucket_name.s3.internal.company.com"; - 最后设置：
proxy_set_header Host $upstream_host;
更健壮的做法：用 map 预定义路由映射
比起在每个 location 里写 set，用 map 提前建立路径前缀到 Host 的映射，更清晰、更易维护：
- 在 http 块顶部定义：
map $request_uri $dynamic_host {<br> ~^/prod/.* "prod-api.backend.internal";<br> ~^/dev/.* "dev-api.backend.internal";<br> ~^/upload/(.+?)/.* "$1-storage.object.internal";<br> default "default.backend.internal";<br>} - 在 server 或 location 中直接使用：
proxy_set_header Host $dynamic_host; - 注意：map 匹配的是 $request_uri 全量（含 query string），若只需路径部分，可用
$uri替代
配套必须项：避免 DNS 和 TLS 层面的 403
仅改 Host 头还不够，上游若走 HTTPS，还需同步满足 TLS 层要求：
- 启用 SNI：
proxy_ssl_server_name on; - 确保
proxy_pass使用域名而非 IP，且该域名与proxy_set_header Host值一致 - 加 resolver 防 DNS 缓存过期：
resolver 114.114.114.114 valid=30s; - 如需强制指定 SNI 域名（比如 Host 和 proxy_pass 域名不一致），用：
proxy_ssl_name "$dynamic_host";
不复杂但容易忽略：Host 头动态化本质是让 Nginx 成为“语义路由器”，而不是简单转发器。只要路径能表达租户/环境/资源归属，就能驱动 Host 变化，从而绕过上游基于 Host 的访问控制瓶颈。
