Nginx 中如何通过 location 嵌套实现复杂请求路由

Nginx location 块不支持嵌套，需通过最长前缀匹配、正则锚定、map 预分流和 auth_request 权限分支实现逻辑分层路由。

Nginx 的 location 块不支持语法嵌套，这是核心前提。你不能在 location /admin { } 内部再写一个 location /admin/settings { } —— Nginx 启动时会直接报错："location" directive is not allowed here。所谓“通过 location 嵌套实现复杂路由”，本质上是对匹配机制的误解。真正可行的是利用 匹配优先级、指令作用域和外部协作机制，模拟出逻辑分层效果。

用最长前缀匹配构建路由层级

Nginx 对所有 location 平级扫描，最终选择最长前缀匹配（或首个满足的正则）。你可以靠路径精度设计“隐式层级”，无需嵌套即可区分不同子路径的处理逻辑：

• /api/ 匹配所有 API 根路径请求
• /api/v2/ 更长，会优先生效于 /api/
• /api/v2/admin/ 更长，自动覆盖前两者

例如：

location /api/ {    proxy_pass http://default-api;}location /api/v2/ {    proxy_pass http://v2-api;}location /api/v2/admin/ {    proxy_pass http://admin-api;    auth_request /auth/admin;}

访问 /api/v2/admin/users 会命中第三个块，不会进入前两个——这是匹配规则决定的，不是嵌套。

用正则 location 精确捕获动态路径

对含 ID、操作名等变量段的复杂路由（如 /users/123/delete），前缀匹配容易过宽。改用锚定正则，避免误匹配：

• ✅ 推荐：location ~ ^/api/v2/(users|posts)/d+/(delete|update)$
• ❌ 避免：location /api/（会把导出、调试等非标准路径也卷入）

配合 limit_except 可进一步约束方法：

location ~ ^/api/v2/.+/delete$ {    limit_except POST { deny all; }    auth_request /auth/scope?op=delete;    proxy_pass http://backend;}

用 map 提前分流，解耦路由决策

不要在 location 中反复用 if 判断 $arg_version 或 $http_x_role——if 在 location 内不支持 proxy_pass，且性能差。改用 map 在 http 块预计算目标：

map $arg_version $upstream {    default api_v1;    "v2"    api_v2;    "beta"  api_beta;}upstream api_v1 { server 10.0.1.10:8080; }upstream api_v2 { server 10.0.1.11:8080; }location /api/ {    proxy_pass http://$upstream;}

这样路由逻辑集中、可读性强，且避免运行时拼接开销。

用 auth_request 实现权限驱动的路由分支

当路由行为依赖鉴权结果（比如 admin 路径走 A 后端，普通用户走 B），可将判断委托给内部鉴权端点：

location /dashboard/ {    auth_request /auth/check;    proxy_pass http://dashboard-service;}location = /auth/check {    internal;    proxy_pass http://auth-svc/dashboard-perm;    proxy_pass_request_body off;    proxy_set_header Content-Length "";}

/auth/check 返回 200 才放行，否则返回 403——路由走向由鉴权服务动态决定，Nginx 仅做转发协调。

不复杂但容易忽略