配置Nginx代理AWS Lambda时Resolver导致API密钥头丢失问题排查

我在Cloudflare后方搭建了Nginx前端Web服务器，用于转发请求到后端服务，整体运行正常。新增AWS Lambda服务负责身份认证和API请求签名后，运行一段时间发现发送到API Gateway后端Lambda的初始请求出现HTTP 499错误，排查后确认是API Gateway的DNS IP变更导致，理论上可通过Nginx resolver解决，但调整配置后遇到两个问题：

• 认证API无法正常工作，或后端缺失Header参数（API密钥被移除）
• 所有服务失效（认证API配置错误引发连锁问题）

附上相关配置，求指出问题：

AWS IP变更前可正常运行的配置 #

server {
    listen 443 ssl;
    server_name auth.mywebsite.com;

    ssl_certificate /etc/nginx/ssl/mywebsite.pem;
    ssl_certificate_key /etc/nginx/ssl/mywebsite.key;

    location / {
        return 301 https://mywebsite.com$request_uri;
    }

    location /v1/ {
        proxy_pass https://{AWS-GATEWAY-ID}.execute-api.us-west-1.amazonaws.com/main/;
        proxy_set_header Host $proxy_host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}

添加Resolver后导致API密钥Header失效的配置 #

server {
    listen 443 ssl;
    server_name auth.mywebsite.com;

    ssl_certificate /etc/nginx/ssl/mywebsite.pem;
    ssl_certificate_key /etc/nginx/ssl/mywebsite.key;

    location / {
        return 301 https://mywebsite.com$request_uri;
    }

    location /v1/ {
        resolver 8.8.8.8 valid=30s;
        set $endpoint {AWS-GATEWAY-ID}.execute-api.us-west-1.amazonaws.com;
        
        proxy_pass https://$endpoint/main/;
        proxy_set_header Host $proxy_host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}

问题根源及修复方案 #

1. 核心问题：

   • 使用变量$endpoint作为proxy_pass目标时，Nginx默认会改变Header转发逻辑，可能丢失客户端发送的自定义Header（比如API密钥）。
   • $proxy_host变量在变量代理场景下的取值不符合API Gateway的要求，导致Host头传递异常。

2. 修复后的配置示例：

server {
    listen 443 ssl;
    server_name auth.mywebsite.com;

    ssl_certificate /etc/nginx/ssl/mywebsite.pem;
    ssl_certificate_key /etc/nginx/ssl/mywebsite.key;

    location / {
        return 301 https://mywebsite.com$request_uri;
    }

    location /v1/ {
        resolver 1.1.1.1 valid=30s; # 适配Cloudflare架构的DNS解析器
        set $endpoint {AWS-GATEWAY-ID}.execute-api.us-west-1.amazonaws.com;
        set $proxy_path /main/;
        
        proxy_pass https://$endpoint$proxy_path;
        # 显式转发客户端API密钥Header，替换为实际Header名称
        proxy_set_header X-API-Key $http_x_api_key;
        # 直接设置Host头为API Gateway域名，确保符合要求
        proxy_set_header Host $endpoint;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        # 显式声明开启请求Header转发，避免变量代理时的逻辑遗漏
        proxy_pass_request_headers on;
    }
}

3. 关键调整说明：
   • 替换DNS解析器为Cloudflare的1.1.1.1，和你的架构更匹配
   • 显式指定要转发的API密钥Header（需替换为实际使用的Header名称）
   • 将Host头直接设置为API Gateway域名，避免$proxy_host的取值异常
   • 显式开启proxy_pass_request_headers，确保所有客户端Header被正确转发

内容的提问来源于stack exchange，提问作者RuntimeRacer