Nginx 如何使用 include 配置按字母顺序规范化管理上百个站点

Nginx用include管理上百站点需结构约束、命名规范与验证机制：采用数字前缀（如00-global.conf）控制加载顺序，确保配置自包含且无副作用，统一存放upstream等全局指令，辅以CI自动化验证和权限管控。

Nginx 用 include 管理上百个站点，关键不是“能不能加载”，而是“怎么避免混乱、冲突和误操作”。按字母顺序加载本身是默认行为，但仅靠它远远不够——真正需要的是结构约束 + 命名规范 + 验证机制。

按字母序加载是自动发生的，但必须可控

Nginx 加载通配符匹配的文件（如 include /etc/nginx/sites-enabled/*.conf;）时，确实按文件系统返回的顺序读取，Linux 下通常是字典序（ASCII 排序）。这意味着 01-api.conf 会比 zz-blog.conf 先加载。但这只是加载顺序，不等于执行优先级或逻辑先后——server_name 匹配才是路由核心。所以“按字母序”本质是用来控制配置加载顺序，比如确保全局重写规则先于具体站点生效。

用编号前缀强制加载顺序

对上百个站点，靠纯域名排序极易出错（比如 shop.example.com 和 example.com 谁先谁后难预判）。稳妥做法是加数字前缀：

1. 00-global-rewrite.conf → 放强制跳转、URL标准化等全局 rewrite
2. 10-upstream-common.conf → 定义所有后端共用的 upstream
3. 20-ssl-default.conf → 默认 TLS 参数，被各站点 ssl_* 指令继承
4. 50-app1.internal.conf、51-app2.internal.conf → 业务服务，编号体现依赖或发布批次
5. 99-default-catchall.conf → 最后一个 server，兜底未匹配域名

这样既利用了字母序，又把意图显性化，新人一看就知道 00- 是基础设施，99- 是兜底项。

站点配置文件必须自包含且无副作用

每个 sites-enabled/xx-site.conf 文件应是一个完整、独立的 server{} 块，不依赖其他文件里的变量或 map（除非明确通过 include 引入公共 snippet）。常见错误包括：

1. 在 server 块里 include ../snippets/auth.conf; 却没检查该文件是否存在或语法是否合法
2. 多个站点共用同一个 log_format 名称，但定义分散在不同文件里，导致后加载的覆盖前加载的
3. upstream 块放在某个站点 conf 里，结果只对该站点生效，其他站点调用时报 “upstream not found”

正确做法：

1. 所有 upstream、map、log_format 必须放在 http{} 块内、include sites-enabled/*.conf 之前的位置（例如在 http 开头处 include conf.d/upstreams.conf;）
2. 每个站点 conf 只写 server{}，里面用 proxy_pass backend_app1; 这类已定义好的名称

自动化验证和上线流程不可省

上百个站点手动 nginx -t 不现实。建议：

1. 所有 conf 文件纳入 Git 仓库，提交前用 CI 脚本执行：

   nginx -t -c /dev/null --prefix /tmp/nginx-test 2>&1 | grep -q "syntax is ok" || exit 1

   （用临时 prefix 避免影响生产环境）

2. 使用 nginx -T 导出最终合并配置，用 grep "^server {" 统计实际加载的 server 块数量，核对是否漏掉或重复
3. 禁用站点不用删文件，统一改后缀为 .conf.disabled，保持 sites-enabled/ 目录干净，避免 *.conf 匹配到无效文件

路径与权限要硬性约定

1. 所有 include 必须用绝对路径，例如：

   include /etc/nginx/conf.d/00-global.conf;

   include /etc/nginx/sites-enabled/*.conf;

2. sites-enabled/ 目录只允许 root 写入，普通运维通过软链管理启停（ln -sf ../sites-available/app.conf ./sites-enabled/10-app.conf），防止直接编辑
3. 每个 conf 文件权限设为 644，属主 root:root，避免 Nginx 启动时报 “permission denied”

不复杂但容易忽略