Nginx 通过 proxy_pass 充当微服务网关，实现路径精确匹配、HTTP 方法限制、前置鉴权、敏感头隐藏、HTTPS 上游、真实 IP 透传及动态服务发现，保障内部 API 安全与解耦。
用 Nginx 的 proxy_pass 保护微服务集群内部 RESTful API，核心不是“转发就行”，而是通过 Nginx 充当统一入口网关，剥离鉴权、限流、协议转换、路径重写等敏感逻辑，让后端微服务专注业务，不直接暴露在不可信网络中。
只允许特定路径和方法访问内部 API
避免把整个服务目录透传出去。用 location 精确匹配 API 路径，并限制 HTTP 方法：
location /api/v1/users/ {
limit_except GET POST {
deny all;
}
proxy_pass http://user-service/;
}
- 只放行
GET和POST，禁止PUT/DELETE等危险方法（或按需放开） - 路径末尾的
/很关键：它让proxy_pass http://user-service/;把/api/v1/users/profile映射为/profile转发给后端，避免路径错位 - 不匹配的路径（如
/admin/或/actuator/）默认不转发，可单独配置deny all或返回 404
校验身份后再转发请求
内部 API 不应自己解析 JWT 或查 Session。Nginx 可在转发前完成基础鉴权：
FastAPI Flask Proxy
下载
FastAPI + Flask 混合部署最佳实践，解决路由定义、API 代理等常见问题，适用于同时运行 FastAPI API 与 Flask 前端的场景。
location /api/ {
auth_request /_validate_token;
proxy_pass http://backend-cluster;
}
location = /_validate_token {
internal;
proxy_pass_request_body off;
proxy_set_header Content-Length "";
proxy_pass http://auth-service/validate;
proxy_pass_request_headers on;
}
-
auth_request指令让 Nginx 同步调用鉴权服务，仅当返回 2xx 才继续转发；返回 401/403 则直接拦截 -
internal确保该鉴权接口不能被外部直接访问 - 实际鉴权服务（如 Spring Boot 写的 JWT 校验端点）只需返回状态码，无需响应体
隐藏后端细节并增强传输安全
防止攻击者从响应头、错误页、重定向中反推内部架构：
- 清除或覆盖敏感响应头：
proxy_hide_header X-Powered-By;、proxy_hide_header Server; - 统一错误页面：
error_page 500 502 503 504 /50x.html;，避免暴露后端堆栈 - 强制 HTTPS 上游通信（若后端支持 TLS）：
proxy_pass https://secure-backend/; - 添加可信请求头供后端识别真实客户端：
proxy_set_header X-Real-IP $remote_addr;、proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
配合服务发现做动态上游路由（进阶）
静态 upstream 不适合频繁扩缩容的微服务。可通过 Lua 模块或 OpenResty 动态解析服务注册中心（如 Nacos、Consul）：
location /api/order/ {
set $backend "";
access_by_lua_block {
local service = require "service_discovery"
local addr = service.get("order-service")
if addr then
ngx.var.backend = "http://" .. addr
else
ngx.exit(503)
end
}
proxy_pass $backend;
}
- 每次请求时拉取最新实例地址，自动剔除下线节点
- 比静态 upstream + 健康检查更及时，适合强一致性要求场景
- 若不用 Lua，也可用 Nginx Plus 的原生服务发现，或结合 Consul Template 生成配置并 reload
