NGINX配置SSL/TLS透传追加querystring参数apikey报错解决方法

报错来自配置逻辑的本质冲突：

• 你当前使用的stream块是NGINX 四层（TCP/UDP）代理模块，工作在传输层，仅转发裸TCP字节流，不会解析HTTP请求的URI、查询参数、请求头等应用层内容。rewrite是HTTP七层模块提供的指令，根本不允许在stream上下文中调用，因此启动直接报错。
• 你最初配置的SSL/TLS透传模式，核心逻辑是NGINX 不对HTTPS流量做解密，直接转发加密字节流到后端。这种模式下NGINX完全无法读取加密流量内的HTTP请求内容，自然不可能实现追加查询参数的操作。

要实现自动追加apikey、无感知鉴权的需求，必须放弃纯四层SSL透传模式，改用七层HTTPS反向代理：由NGINX终止客户端的TLS连接，解密后解析HTTP请求，追加固定apikey参数，再与后端建立HTTPS连接转发请求。
可直接参考如下配置：

http {
    # 保留你原有http块下的基础配置（比如日志格式、MIME类型、连接池配置等）
    server {
        listen 443 ssl;
        # 替换为你域名对应的SSL证书、私钥路径
        ssl_certificate /etc/nginx/ssl/fullchain.pem;
        ssl_certificate_key /etc/nginx/ssl/privkey.pem;

        location / {
            # 拼接查询参数：原始参数存在时追加apikey，不存在时直接设置apikey
            set $modified_args $args;
            if ($modified_args != "") {
                set $modified_args "${modified_args}&apikey=你配置的固定apikey值";
            }
            if ($modified_args = "") {
                set $modified_args "apikey=你配置的固定apikey值";
            }

            # 转发请求到后端
            proxy_pass https://example.com$uri?$modified_args;
            # 透传必要请求头
            proxy_set_header Host example.com;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_set_header X-Forwarded-Proto https;

            # 配置后端故障转移规则，匹配原stream配置的重试逻辑
            proxy_next_upstream error timeout http_502 http_503 http_504;
            proxy_connect_timeout 10s;
        }
    }
}

• 纯SSL透传场景下（不解密流量）没有任何方式可以修改HTTP层的查询参数，所有四层代理都不具备这个能力，不要在这个方向上浪费时间。
• 上述配置对客户端完全透明：客户端发起请求时不需要携带apikey参数，参数由NGINX转发时自动追加，后端服务仅需校验该参数即可完成鉴权，完全匹配你的需求。
• 如果需要做多后端负载，直接在http块下配置upstream，把proxy_pass指向upstream名称即可，和stream块的upstream配置逻辑类似。

内容的提问来源于stack exchange，提问作者IlConte