多域名共用Nginx代理时需动态处理请求头：Host必须用$host或$http_host透传；跨域头应由Nginx按$http_origin正则匹配后动态设置；自定义头需开启underscores_in_headers并显式转发；X-Forwarded-Proto等协议头须用变量绑定当前请求。
多域名共享同一个 Nginx 代理配置时，若未区分处理请求头，容易出现 Host 错乱、X-Forwarded-For 混叠、跨域响应不匹配等问题。核心在于：Nginx 不会自动按域名隔离头部行为，所有 location 或 server 块共用同一套 proxy_set_header 规则，一旦写死或未动态适配，就会“张冠李戴”。
Host 头必须动态透传原始域名
多个域名（如 site-a.com、site-b.net）共用一个 upstream，若 proxy_set_header Host 写成固定值（如 proxy_set_header Host site-a.com;），则 site-b.net 的请求也会被篡改为 site-a.com，导致后端路由错误、证书校验失败或静态资源 404。
正确做法是始终使用变量：
-
proxy_set_header Host $host;—— 保留客户端发起请求时的原始 Host（不含端口） - 如需带端口（如调试用），改用
$http_host，它原样复现请求中的 Host 字段 - 避免使用
$server_name，它是当前 server 块定义的 name，对多域名不具区分性
跨域头需按来源域名动态响应
当多个前端域名（test1.com、admin.example.org）都走同一代理路径（如 /api/），后端若自行返回 Access-Control-Allow-Origin，极易因白名单冲突或硬编码导致 CORS 报错。更稳妥的是由 Nginx 统一接管：
- 屏蔽后端返回的跨域头：
proxy_hide_header Access-Control-Allow-Origin; - 用正则匹配合法来源：
if ($http_origin ~* ^(https?://(test1\.com|admin\.example\.org|localhost:\d+)$)) { set $cors "true"; } - 仅对匹配域名添加响应头：
add_header Access-Control-Allow-Origin $http_origin always;（配合always确保 204/304 也生效）
自定义头与下划线字段要全局放开
灰度标识（如 gray_sign）、租户 ID（x-tenant-id）等自定义头，在多域名场景下常因 Nginx 默认策略丢失：
- Nginx 默认丢弃含下划线的请求头（
underscores_in_headers off），必须在 http 或 server 块显式开启：underscores_in_headers on; - 自定义头不会自动转发，需逐个声明：
proxy_set_header gray_sign $http_gray_sign; - 注意变量命名：Nginx 将请求头
X-Gray-Sign映射为$http_x_gray_sign，但若客户端发的是gray_sign（无前缀），则对应$http_gray_sign
协议与 IP 头需保持链路一致性
HTTPS 入口 + HTTP 后端的组合下，若多个域名共用一套 proxy_pass，X-Forwarded-Proto 和 X-Forwarded-For 必须严格与当前请求绑定，否则会出现：
- site-a.com（HTTPS）的请求被标记为 HTTP → 后端重定向到 http://，引发死循环
- site-b.net 用户的真实 IP 被 site-a.com 的 X-Forwarded-For 覆盖 → 日志 IP 失真
确保以下三行始终存在且位于 proxy_pass 上方：
-
proxy_set_header X-Forwarded-Proto $scheme;（不是写死 https） proxy_set_header X-Real-IP $remote_addr;proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
