Nginx可通过反向代理、认证前置透传与请求重写实现旧系统HTTP Basic Auth向新版网关的平滑迁移，核心是保留旧入口、剥离认证逻辑交由网关统一管控，全程不中断服务且无需修改旧系统代码。
Nginx 本身不提供“统一网关”能力，但可以通过反向代理 + 认证前置 + 请求重写组合实现旧系统基础认证（HTTP Basic Auth）向新版网关的平滑迁移。核心是保留旧访问入口、剥离认证逻辑、交由新网关统一管控，全程不中断服务、不修改旧系统代码。
保留旧入口，剥离认证层
旧系统若直接启用了 auth_basic，用户请求会先被 Nginx 拦截校验，认证通过后才转发。迁移时需将这层认证“卸载”到网关侧：
- 注释或删除旧配置中的
auth_basic和auth_basic_user_file指令； - 在
location块中显式关闭认证：auth_basic off;（避免继承父级配置）； - 添加
proxy_set_header Authorization $http_authorization;，把原始认证头透传给网关； - 确保新版网关已部署并能解析
Authorization: Basic xxx头，完成统一鉴权。
透传用户标识，适配网关会话
网关通常需要识别真实用户而非 Nginx 代理身份：
- 用
proxy_set_header X-Real-IP $remote_addr;和X-Forwarded-For $proxy_add_x_forwarded_for;传递客户端 IP； - 若旧系统依赖
.htpasswd用户名做业务逻辑（如权限判断），可在 Nginx 中解析 Base64 并注入新头：set $auth_user ""; if ($http_authorization ~* "^Basic\s+(.*)$") { set $auth_encoded $1; # 注意：Nginx 原生不支持 Base64 解码，需用 Lua 模块或改由网关解析 } proxy_set_header X-Auth-User $auth_user; # 实际建议由网关解码更安全
路径与 Cookie 适配，避免登录态断裂
旧系统可能把认证态存在特定 Cookie 或路径下：
- 若旧系统 Cookie 路径为
/old/，而网关期望/，用proxy_cookie_path /old/ /;重写； - 若旧系统 Domain 是
app.example.com，网关要求gateway.example.com，用proxy_cookie_domain .example.com;统一域； - 若网关使用 JWT 替代 Session，旧系统仍发
Set-Cookie: JSESSIONID=xxx，可用proxy_hide_header Set-Cookie;屏蔽，防止干扰。
配置示例（带灰度与降级）
upstream legacy_app { server 10.0.1.10:8080; }
upstream gateway_api { server 10.0.2.20:9000; }
location /api/ {
# 灰度开关：仅测试组可走网关
set $use_gateway "0";
if ($http_x_tester = "true") { set $use_gateway "1"; }
if ($remote_addr ~ "^192\.168\.10\.") { set $use_gateway "1"; }
# 主路由：默认走旧系统（无认证）
proxy_pass http://legacy_app;
auth_basic off;
proxy_set_header Authorization $http_authorization;
# 网关路由（启用时）
if ($use_gateway = "1") {
proxy_pass http://gateway_api;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Real-IP $remote_addr;
proxy_cookie_path /old/ /;
proxy_cookie_domain .example.com;
proxy_hide_header Set-Cookie;
}
# 自动降级：网关异常时 fallback 到旧系统（需配合 proxy_next_upstream）
proxy_next_upstream error timeout http_500 http_502 http_503;
}不复杂但容易忽略的是：网关必须能处理未认证请求（返回 401）或接受透传的 Authorization 头，并且旧系统要允许匿名访问——这意味着你得确认旧后端接口是否真能“去认证运行”，否则需先改造其鉴权逻辑为可选模式。
