Nginx location 不支持嵌套，需通过匹配优先级和前缀精度模拟分层：用最长前缀（如 /api/、/api/v2/、/api/v2/admin/）实现高效O(1)匹配；动态路径交由map或auth_request处理；敏感路径用^~强制前缀拦截；正则仅作锚定兜底，置于配置末尾。
Nginx 的 location 块本身不支持语法嵌套，所谓“多层嵌套路由”，其实是靠匹配优先级、路径精度和指令组合来模拟逻辑层级。优化的关键不是强行分层，而是让规则更准、更快、更易维护。
用最长前缀匹配替代“伪嵌套”
把多级路径写成逐级变长的前缀，Nginx 会自动选中最长匹配项，无需嵌套也能实现自然分层：
- /api/ → 处理所有 API 根请求
- /api/v2/ → 覆盖 /api/，专用于 v2 接口
- /api/v2/admin/ → 再覆盖前两者，走独立鉴权和后端
这样写既清晰又高效，匹配是 O(1) 时间复杂度，比正则快得多。
高频路径固定为前缀，动态段交由内部处理
对含 ID 或操作名的路径（如 /users/123/delete），不要在 location 中写深层正则。改成：
- 用 location /api/v2/users/ { } 拦住整个用户子树
- 在块内用 map 或 auth_request 解析 $uri 或参数，做细粒度控制
- 必要时配合 try_files 或 rewrite 做内部重定向
避免每次请求都跑一遍复杂正则，减少运行时开销。
敏感路径统一用 ^~ 前缀拦截
对需要集中管控的多级目录（如 /admin/、/data/logs/、/backup/），一律用 ^~ 修饰：
- location ^~ /admin/ { deny all; } —— 立即终止匹配，不查正则，语义明确
- location ^~ /api/v1/private/ { return 403; } —— 封禁整棵私有接口树
- 这类规则放在配置靠前位置，防止被宽松规则意外放行
正则只收尾、不前置，且必须锚定
正则匹配性能低、顺序敏感，应作为兜底手段，而非主力：
- 把正则块统一放在所有前缀规则之后
- 必须用 ^ 开头、$ 结尾，例如：location ~ ^/api/v\d+/.+/delete$
- 搭配 limit_except POST { deny all; } 控制方法，避免误放开
不锚定的正则（如 ~ /delete）容易跨路径误匹配，带来安全隐患。
