> А потом
> стихийно переписываться

Софт, стало быть, писали без процессов, без архитектуры, на глазок и по велению души? Кроме как сказать «поздравляю с завершением PoC, это были тяжёлые две недели» ответить на это нечего. Но PoC на то и PoC, что никого не интересует, с какого stackoverflow что куда накопировали. У себя на локалхосте я ещё и не такое вытворяю, в прод-то зачем это тащить? Бред типа «в середине конфига можно найти вставку с кодом сервиса авторизации на Lua» просто не пройдёт код ревью, и вся твоя история про бесконтрольную кучу «if-ов с return, rewrite и proxy_set_header» либо высосана из пальца, либо происходит в какой-то помойке, куда нанимают студней за еду осваивать бюджеты. Какое отношение возможности конфига lighttpd имеют к этому гротеску понять сложно.