要让Nginx的proxy_pass实现后端域名动态解析，必须同时满足三个条件：用变量承载域名、显式配置resolver、且三者作用域匹配；resolver需置于location块内（如resolver 114.114.114.114 valid=15s），proxy_pass须写为http://$backend$request_uri;，禁止硬编码域名或路径。
要让 Nginx 的 proxy_pass 实现后端域名的动态解析，关键不是“写个变量就行”，而是必须同时满足三个条件：用变量承载域名、显式配置 resolver、且三者作用域匹配。Nginx 默认只在启动时解析一次域名，不响应 DNS 变更，动态解析必须主动打破这个机制。
必须启用 resolver 并放在正确位置
resolver 指令不能省略，也不能只写在 http 块顶层（旧版本不继承，新版虽支持但易出问题）。推荐直接写在使用变量的 location 块内，确保作用域明确：
-
resolver 114.114.114.114 valid=15s;（国内公共 DNS） -
resolver 127.0.0.11 valid=10s;（Docker 环境） -
resolver kube-dns.kube-system.svc.cluster.local valid=5s;（K8s 内网 DNS）
valid 值建议设为 5–30 秒：太短会压垮 DNS 服务，太长会导致后端 IP 变更后流量无法及时切换。
proxy_pass 必须用变量且格式严格
以下写法才能触发每次请求前的 DNS 查询：
FastAPI Flask Proxy
下载
FastAPI + Flask 混合部署最佳实践，解决路由定义、API 代理等常见问题，适用于同时运行 FastAPI API 与 Flask 前端的场景。
- ✅ 正确：
set $svc "auth-svc.default.svc.cluster.local"; proxy_pass https://$svc$request_uri; - ✅ 正确（配合 map）：
map $arg_env $upstream { default "api-prod.example.com"; "staging" "api-staging.example.com"; } location / { proxy_pass http://$upstream$request_uri; } - ❌ 错误：
proxy_pass http://api.example.com;（无变量，永远静态） - ❌ 错误：
proxy_pass http://$svc/;（结尾带/会丢弃原始路径，$request_uri失效）
变量里只存纯域名（如 user-svc.internal），不带协议、端口、路径；proxy_pass 中必须显式写出协议（http:// 或 https://），Nginx 才能自动补默认端口并查 DNS。
用 map 实现安全可控的路由映射
不推荐在运行时拼接 URL，尤其不能把用户输入（如 $arg_backend）直接塞进 proxy_pass。应提前定义白名单映射：
- 在
http块中定义：map $host $upstream { ~^(?<sub>[\w-]+)\.example\.com$ http://$sub-svc.internal/; default http://default-svc.internal/; }</sub> - 每个映射值都必须是合法 URI，含协议和结尾斜杠
- 正则 key 要限制字符范围（如
[\w-]+），拒绝..、://、空格等非法输入 - location 中直接写：
proxy_pass $upstream;（不加额外路径）
路径处理要与域名解耦
如果需按租户、版本等动态调整后端路径前缀，不要把路径拼进 proxy_pass，而应先重写 URI：
- 用
rewrite ^/t-(\w+)/(.*)$ /$1/$2 break;提取租户并改写路径 - 再配
proxy_pass http://backend;（无路径，由 Nginx 自动补全） - 或用 map 提取前缀：
map $uri $prefix { ~^/v(\d+)/ $1; default ""; }，然后proxy_pass http://backend$prefix$request_uri;
注意：proxy_pass 后不带路径（即不以 / 结尾），原始请求路径才会完整传递；带 / 则原始 URI 被丢弃，只传 location 匹配后的部分。
