Nginx通过proxy_pass实现多租户数据隔离的核心是请求路由分流而非自身隔离，按Host、路径前缀或Token提取租户标识并转发至对应后端，后端负责实际数据隔离。
在 Nginx 中用 proxy_pass 实现多租户系统的数据隔离代理，核心不是靠 Nginx 自身做“数据隔离”，而是通过请求路由层面的精确分流，把不同租户的流量导向对应后端服务（如独立实例、带租户标识的 API 网关或带租户上下文的微服务），从而为上层业务的数据隔离提供网络层支撑。
按 Host 或子域名路由到不同后端
这是最常见、最清晰的多租户隔离方式。每个租户拥有独立子域名（如 tenant-a.example.com、tenant-b.example.com），Nginx 根据 Host 头分发请求：
server {
listen 80;
server_name tenant-a.example.com;
location / {
proxy_pass https://backend-tenant-a;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
}
}
<p>server {
listen 80;
server_name tenant-b.example.com;
location / {
proxy_pass <a href="https://www.php.cn/link/9215b69bf3fc8955f31f72c4bd4e577a">https://www.php.cn/link/9215b69bf3fc8955f31f72c4bd4e577a</a>;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
}
}说明：后端服务（backend-tenant-a 等）需各自维护独立数据库或租户感知逻辑；Nginx 只负责“不混淆地转发”。
按路径前缀提取租户标识并透传
适用于统一域名 + 路径区分租户的场景（如 example.com/tenant-a/api/users）。需用 rewrite 截取租户名，并通过自定义 Header 透传给后端：
location ~ ^/(?<tenant>[a-zA-Z0-9-_]+)/api/ {
# 去掉租户前缀，重写路径
rewrite ^/(?<tenant>[a-zA-Z0-9-_]+)/(.*)$ /$2 break;
<pre class="brush:php;toolbar:false;"># 将租户名作为 Header 透传
proxy_set_header X-Tenant-ID $tenant;
# 转发到共享后端（该后端需解析 X-Tenant-ID 并隔离数据）
proxy_pass http://shared-api-backend;
proxy_set_header Host $host;}
安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。
关键点：
• 正则命名捕获 (?<tenant>...)</tenant> 提高可读性
• rewrite ... break 避免循环，且不改变原始 URI 结构供后端使用
• 后端必须依赖 X-Tenant-ID 做 DB Schema 切换、租户上下文注入等
结合 JWT 或 Cookie 提取租户信息做动态代理
当租户身份藏在 Token 或登录态中，可用 auth_request 模块或 OpenResty 的 Lua 脚本解析并决策路由。纯 Nginx 需借助第三方模块，但更推荐轻量方案：
- 用 Nginx 的
map指令从请求头（如Authorization）提取租户字段（需 Token 格式固定，例如 Bearer t-a:xxx） - 将提取结果映射为 upstream 名称，再配合
proxy_pass动态转发 - 示例（简化）：
map $http_authorization $upstream_backend { ~*Bearer\s+t-a: backend-tenant-a; ~*Bearer\s+t-b: backend-tenant-b; default backend-default; } <p>server { location / { proxy_pass <a href="https://www.php.cn/link/417dedd041fefe5dbdea9cd22d424d86">https://www.php.cn/link/417dedd041fefe5dbdea9cd22d424d86</a>; proxy_set_header Host $host; } }
注意：此方式对 Token 格式强依赖，生产环境建议用 OpenResty 或前置认证网关处理复杂解析。
安全与隔离强化建议
仅靠路由转发不等于数据隔离，Nginx 层需配合以下措施防越权和误连：
- 禁用
proxy_redirect默认行为，避免后端返回的跳转响应暴露内部地址：proxy_redirect off; - 严格限制允许的
Host头，拒绝非法域名请求：if ($host !~ ^(tenant-a\.example\.com|tenant-b\.example\.com)$) { return 444; } - 所有
proxy_pass目标使用 upstream 块定义，便于健康检查与负载均衡，不直写 IP+端口 - 租户专用 upstream 应配置独立
proxy_buffer和超时，避免一个租户慢拖垮全局
真正实现数据隔离，最终依赖后端服务的设计——Nginx 是守门人，不是隔离墙。它的任务是确保请求“不走错门”，而每扇门后怎么管理数据，由应用层决定。
