Nginx 生产实践：反向代理、缓存、限流与 TLS

# 自动按 CPU 核数启动 worker
worker_processes auto;

# worker_connections 含客户端连接和到上游的连接两个方向
events {
    worker_connections 10240;
    use epoll;   # Linux；FreeBSD/macOS 对应 kqueue
}

# 连接数估算过万时，内核 fd 上限与 nginx 的 worker_rlimit_nofile 要同步调大
ulimit -n

# 规则一：proxy_pass 带路径（含尾斜杠），location 匹配的部分会被替换
location /api/ {
    proxy_pass http://127.0.0.1:3000/v1/;
    # 请求 /api/users → 上游收到 /v1/users
}

# 规则二：proxy_pass 只有 host:port，原始 URI 原样透传
location /api/ {
    proxy_pass http://127.0.0.1:3000;
    # 请求 /api/users → 上游收到 /api/users
}

location /api/ {
    proxy_pass http://127.0.0.1:3000;

    # X-Real-IP 是直连地址；XFF 由 nginx 追加 $remote_addr 形成链路
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    # 保留原始 Host 与协议，后端生成绝对链接、判断 https 时依赖它们
    proxy_set_header Host $host;
    proxy_set_header X-Forwarded-Proto $scheme;

    # HTTP/1.1 + keepalive：免每请求一次 TCP 握手
    proxy_http_version 1.1;
    proxy_set_header Connection "";
}

upstream app_backend {
    # 会话粘性用 ip_hash；请求耗时差异大用 least_conn（都写在 server 之前）
    server app1.example.com:3000 weight=3;   # weight 按权重分流：异构机器、灰度
    server app2.example.com:3000 weight=1;

    keepalive 32;   # 到上游的长连接池，大幅减少握手开销
}

upstream app_backend {
    server app1.example.com:3000 max_fails=3 fail_timeout=30s;
    server app2.example.com:3000 max_fails=3 fail_timeout=30s;
    server 127.0.0.1:3000 backup;   # 备用节点，全部主节点失败才启用
}

# 什么情况下换下一个节点重试（默认只重试幂等方法，这是安全兜底）
proxy_next_upstream error timeout http_502 http_503 http_504;
proxy_next_upstream_tries 3;      # 最多换 3 个节点
proxy_next_upstream_timeout 10s;  # 换节点重试的总时间上限

# req 控速率，conn 控并发，两个 zone 都按客户端 IP
limit_req_zone  $binary_remote_addr zone=req_per_ip:10m  rate=100r/s;
limit_conn_zone $binary_remote_addr zone=conn_per_ip:10m;

server {
    location /api/ {
        limit_req zone=req_per_ip burst=200 nodelay;  # 稳态 100 r/s + 200 突发
        limit_conn conn_per_ip 50;
        limit_req_status 429;   # 统一返回 429，便于前端区分限流与其他错误
        limit_conn_status 429;
    }
}

gzip on;
gzip_comp_level 5;    # 等级 4-5 是体积与 CPU 的平衡点
gzip_min_length 1k;   # 小于 1k 压缩收益低于开销
gzip_types text/css application/javascript application/json text/plain;

# brotli 压缩率更高，需安装 ngx_brotli 模块，客户端支持时优先
brotli on;
brotli_comp_level 5;
brotli_types text/css application/javascript application/json;

location /assets/ {
    root /var/www/example.com;
    expires 1y;   # 内容寻址的文件名，改内容必改名，缓存一年也安全
    add_header Cache-Control "public, immutable";
}

# 目录层级/内存区/磁盘上限/失效时间一行声明
proxy_cache_path /var/cache/nginx/app levels=1:2 keys_zone=app_cache:20m max_size=2g inactive=30m use_temp_path=off;

location /api/public/ {
    proxy_pass http://app_backend;
    proxy_cache app_cache;
    proxy_cache_valid 200 5m;                # 200 响应缓存 5 分钟
    proxy_cache_key $scheme$request_method$host$request_uri;
    proxy_cache_use_stale error timeout updating;   # 上游挂了先回旧数据
    add_header X-Cache-Status $upstream_cache_status; # HIT/MISS/STALE，排查必备
}

server {
    listen 443 ssl;
    http2 on;
    server_name example.com;

    # 证书链必须完整（服务器证书 + 中间证书拼在一个文件）
    ssl_certificate     /etc/nginx/ssl/example.com.fullchain.cer;
    ssl_certificate_key /etc/nginx/ssl/example.com.key;

    # TLS 1.2 起步；1.3 握手更快且去掉了大量不安全套件
    ssl_protocols TLSv1.2 TLSv1.3;
    # 1.2 只留 ECDHE（前向保密）+ AEAD 加密；1.3 由协议内置，不在此列
    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384;
    ssl_prefer_server_ciphers off;

    # 会话复用：减少重复完整握手
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 1d;
    ssl_session_tickets off;

    # OCSP 装订：由服务器代查证书状态，客户端不用再去 CA 查
    ssl_stapling on;
    ssl_stapling_verify on;
    ssl_trusted_certificate /etc/nginx/ssl/ca.crt;

    # HSTS：强制浏览器后续只用 https 访问；先确认全站 https 再开
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
}

# 检查协议与套件协商结果
openssl s_client -connect example.com:443 -tls1_3 </dev/null 2>/dev/null | rg "Protocol|Cipher"
# 检查 OCSP 装订是否真的在响应里
openssl s_client -connect example.com:443 -status </dev/null 2>/dev/null | rg "OCSP"

location /api/ {
    proxy_connect_timeout 5s;
    proxy_send_timeout    60s;
    proxy_read_timeout    60s;
    client_max_body_size 10m;
}
location /upload/ {
    client_max_body_size 100m;   # 不设就是默认 1m，大文件直接 413
    proxy_read_timeout 300s;
}

server {
    location = /healthz { return 200 "ok"; }        # 精确匹配，探测走这里
    location ^~ /assets/ { expires 1y; }           # 前缀命中后不再查正则
    location ~ \.php$ { return 404; }              # 正则按出现顺序生效
    location /api/ { proxy_pass http://app_backend; } # 兜底前缀
}

# 从 Nginx 机器直接打上游，区分"Nginx 问题"还是"应用问题"
curl -sS -o /dev/null -w "%{http_code} %{time_total}s\n" http://127.0.0.1:3000/healthz
# error 日志会记录 upstream 超时与连接失败的具体原因
tail -100 /var/log/nginx/error.log
# 确认上游端口确实在监听、监听在预期地址
ss -lntp | rg 3000