境外IP天天扫你网站？3步彻底封杀，还不用编译Nginx！ 你的服务器是否每天被 /admin、/wp-login.php、/.env 扫描刷屏？这些攻击 90% 来自境外。如果你的业务只服务中国大陆用户，那完全没必要开放全球访问！更重要的是：你不需要编译 Nginx，不需要 MaxMind 账号，甚至不用装额外模块只需利用 亚太网络信息中心（APNIC）公开的官方 IP 数据，配合 Nginx 原生功能，3步实现精准拦截！为什么推荐 APNIC 方案？APNIC 官方方案 ✅ 完全公开免费✅ 原生支持，不需要重新编译Nginx✅ 亚太官方机构发布（数据权威性）✅ 所有 Linux + 任意 Nginx 版本实战：3 步实现“仅限中国大陆访问”📌 本方案适用于：任何 Linux 系统 + 任何来源的 Nginx（官方源、宝塔、LNMP、手动编译等）第一步：获取中国大陆 IP 段（来自 APNIC 官方）APNIC 每天更新各国 IP 分配清单，地址永久免费开放：http://ftp.apnic.net/apnic/stats/apnic/delegated-apnic-latest# 下载到文件 wget http://ftp.apnic.net/apnic/stats/apnic/delegated-apnic-latest # 直接输出到终端 curl -sSL https://ftp.apnic.net/apnic/stats/apnic/delegated-apnic-latest创建自动转换脚本（保存为 /usr/local/bin/gen-cn-allow.sh）：#!/bin/bash # 从 APNIC 官方数据生成 Nginx allow 规则 # 适用于任意 Linux 系统（CentOS/Ubuntu/Debian/Alma/Rocky 等） OUTPUT_DIR="/etc/nginx/conf.d" mkdir -p "$OUTPUT_DIR" echo "正在下载 APNIC 最新数据..." wget -qO- http://ftp.apnic.net/apnic/stats/apnic/delegated-apnic-latest | \ awk -F'|' ' $2 == "CN" && $3 == "ipv4" { prefix = $4; len = 32 - log($5) / log(2); print "allow " prefix "/" len ";"; } $2 == "CN" && $3 == "ipv6" { print "allow " $4 "/" $5 ";"; } ' > /tmp/cn_allow.list # 分离 IPv4 和 IPv6（避免混合导致 Nginx 报错） grep -E 'allow [0-9]+\.' /tmp/cn_allow.list > "$OUTPUT_DIR/china-ipv4.conf" grep -E 'allow [0-9a-fA-F:]+' /tmp/cn_allow.list > "$OUTPUT_DIR/china-ipv6.conf" # 添加注释头 sed -i "1i# Auto-generated from APNIC — $(date)" "$OUTPUT_DIR/china-ipv4.conf" sed -i "1i# Auto-generated from APNIC — $(date)" "$OUTPUT_DIR/china-ipv6.conf" rm -f /tmp/cn_allow.list echo "✅ 中国 IP 白名单已生成：" echo " IPv4: $OUTPUT_DIR/china-ipv4.conf" echo " IPv6: $OUTPUT_DIR/china-ipv6.conf"赋权并运行：chmod +x /usr/local/bin/gen-cn-allow.sh sudo /usr/local/bin/gen-cn-allow.sh🕒 建议每日自动更新（防止新 IP 段遗漏）：echo "0 3 * * * root /usr/local/bin/gen-cn-allow.sh >/dev/null 2>&1" | sudo tee /etc/cron.d/update-cn-ip第二步：配置 Nginx 仅放行中国 IP编辑你的站点配置文件（如 /etc/nginx/conf.d/your-site.conf）：server { listen 80; listen [::]:80; server_name your-domain.com; # 引入中国 IP 白名单（顺序很重要！） include /etc/nginx/conf.d/china-ipv4.conf; include /etc/nginx/conf.d/china-ipv6.conf; # 可选：放行本地回环（避免自己被拦） allow 127.0.0.1; allow ::1; # 拒绝所有未匹配的请求 deny all; location / { root /var/www/html; index index.html; # 你的其他配置... } }⚠️ 关键规则：Nginx 按顺序匹配 allow/deny，必须先写 allow，再写 deny all！第三步：重载生效 & 验证# 检查语法 nginx -t # 重载配置（平滑生效，不影响在线用户） nginx -s reload # 或 systemctl reload nginx验证方法： 国内手机 4G 访问 → 应正常打开；使用境外代理或 VPS 访问 → 应返回 403 Forbidden；查看日志：tail -f /var/log/nginx/access.log | grep '403'⚠️ 重要注意事项CDN 用户请特别注意！如果你使用了 Cloudflare、阿里云 CDN、腾讯云 CDN 等：用户真实 IP 被隐藏，Nginx 看到的是 CDN 节点 IP（多为境外）；直接启用此规则会导致 所有用户被拦截！✅ 解决方案：在 CDN 后台开启 “回源携带真实IP”（如 Cloudflare 的 CF-Connecting-IP）；或改用 CDN 自带的地域封禁功能（更简单可靠）。IPv6 支持按需启用若服务器未启用IPv6，可删除listen [::]:80;和china-ipv6.conf引用。性能影响极小中国大陆IP段约6000+条，Nginx 使用高效前缀匹配，实测无明显延迟。写在最后：屏蔽境外访问，不等于“技术复杂”。用官方数据 + Nginx 原生能力，就能构建一道高效、透明、低成本的“数字国境线”。你试过哪种防境外攻击的方法？有没有因为 CDN 导致误拦的经历？欢迎评论区分享！

还在手动封 IP？这 3 种 Nginx 动态封禁方案 还在靠 vim 手动加 deny 1.2.3.4 ;，然后 nginx -s reload ？不仅效率低，还容易误操作、漏封、重启抖动……别担心！本文为你带来三种真正 “动态”、无需复杂开发、生产可用的 Nginx 封 IP 方案，全部附带 完整配置 + 一行命令操作，让你的防护能力秒级生效，运维效率直接翻倍！方案一：OpenResty + Redis 毫秒级动态封禁实时生效｜无需 reload｜支持自动解封1. 安装 OpenResty + Redis# Ubuntu 示例 sudo apt install redis-server -y wget -O - https://openresty.org/package/pubkey.gpg | sudo gpg --dearmor -o /usr/share/keyrings/openresty-archive-keyring.gpg echo "deb [signed-by=/usr/share/keyrings/openresty-archive-keyring.gpg] http://openresty.org/package/debian $(lsb_release -sc) openresty" | sudo tee /etc/apt/sources.list.d/openresty.list sudo apt update && sudo apt install -y openresty2. 配置 /etc/openresty/nginx.confworker_processes auto; events { worker_connections 1024; } http { server { listen 80; location / { access_by_lua_block { local redis = require "resty.redis" local red = redis:new() red:set_timeout(1000) local ok, err = red:connect("127.0.0.1", 6379) if not ok then return end local ip = ngx.var.remote_addr if red:get("blacklist:" .. ip) ~= ngx.null then ngx.exit(403) end red:close() } proxy_pass http://127.0.0.1:8080; } } }3. 动态封/解 IP（一行命令）# 封 1 小时 redis-cli SETEX blacklist:1.2.3.4 3600 "abuse" # 解封 redis-cli DEL blacklist:1.2.3.4方案二：fail2ban + Nginx 日志 —— 自动分析恶意行为自动封｜防爆破｜开箱即用1. 安装 fail2bansudo apt install fail2ban -y2. 创建过滤器 /etc/fail2ban/filter.d/nginx-bad.conf[Definition] failregex = ^<HOST>.*"(GET|POST).*" (400|403|444|404) .* ignoreregex =3. 配置 jail /etc/fail2ban/jail.local[nginx-bad] enabled = true port = http,https filter = nginx-bad logpath = /var/log/nginx/access.log maxretry = 5 findtime = 600 bantime = 3600 action = iptables-multiport[name=nginx, port="80,443"]4. 启动sudo systemctl restart fail2ban注：默认用 iptables 封 IP。如坚持只用 Nginx ，请看方案三。方案三：纯 Shell + 文件驱动 —— 最简原生 Nginx 封禁零依赖｜只用 Nginx｜运维只需写文件核心思想： 维护一个纯文本黑名单文件：/etc/nginx/blacklist.txt（每行一个 IP）用一个 Shell 脚本自动转成 deny 配置并 reload通过 inotifywait 监听文件变化，改完即生效第一步：安装 inotify-tools（监听文件变动）sudo apt install inotify-tools -y第二步：创建黑名单目录和初始文件sudo mkdir -p /etc/nginx/dynamic echo "# 黑名单IP，每行一个，如：1.2.3.4" | sudo tee /etc/nginx/blacklist.txt sudo touch /etc/nginx/dynamic/blacklist.conf第三步：编写转换脚本 /usr/local/bin/gen_nginx_blacklist.sh#!/bin/bash INPUT="/etc/nginx/blacklist.txt" OUTPUT="/etc/nginx/dynamic/blacklist.conf" # 清空输出文件 echo "# Auto-generated from blacklist.txt. DO NOT EDIT." > "$OUTPUT" # 读取 blacklist.txt，跳过注释和空行，生成 deny 规则 while IFS= read -r line; do line=$(echo "$line" | xargs) # 去除前后空格 if [[ -n "$line" && "$line" != \#* ]]; then echo "deny $line;" >> "$OUTPUT" fi done < "$INPUT" #测试配置 & 重载 nginx -t && systemctl reload nginx赋予执行权限：sudo chmod +x /usr/local/bin/gen_nginx_blacklist.sh第四步：在 Nginx 配置中引入黑名单server { listen 80; include /etc/nginx/dynamic/blacklist.conf; # ← 关键！ location / { proxy_pass http://127.0.0.1:8080; } }第五步：启动监听服务（后台运行）# 创建 systemd 服务（推荐）或直接运行： nohup inotifywait -m -e modify,move,create,delete /etc/nginx/blacklist.txt \ --format '%f' | while read file; do echo "[$(date)] blacklist.txt changed, regenerating..." /usr/local/bin/gen_nginx_blacklist.sh done &更优雅做法：写成 systemd 服务使用方式 运维只需编辑 /etc/nginx/blacklist.txt# 示例内容 1.2.3.4 5.6.7.8 192.168.100.50保存文件后，3 秒内自动封禁！无需任何命令！优点： 只需一个文本文件 + 一个 Shell 脚本完全兼容原生 Nginx三大方案怎么选？场景推荐方案高并发、API 网关、需要毫秒响应✅ 方案一（OpenResty + Redis）防暴力破解、WordPress、中小站点✅ 方案二（fail2ban）不想装新软件、只要原生 Nginx、运维习惯改文件✅✅✅ 方案三（Shell + 文件监听）写在最后：封 IP 不该是体力活！无论你是技术大牛还是初级运维，总有一款方案让你 告别手动 reload ，把时间留给更有价值的事。

从 0 搭建 Nginx 安全网关：堵住 90% 的 Web 漏洞! 你的网站是否曾被扫描出以下高危问题？🔸 Host 头注入：攻击者伪造 Host 头，窃取密码重置链接🔸 敏感文件泄露：.git、.env、backup.zip 被直接下载🔸 目录遍历：访问 /static/../../../etc/passwd🔸 Nginx 版本号暴露：让黑客精准利用已知漏洞别再依赖“防火墙万能”了！Nginx本身就是一个强大的安全网关 ，只需几行配置，就能实现企业级防护。✅ 无需额外软件✅ 零成本加固✅ 符合等保 2.0 要求今天，手把手教你从 0 搭建一个安全、干净、合规的 Nginx 网关！🛡️ 第一步：隐藏身份 —— 隐藏 Nginx 版本号攻击者第一步就是探测你的服务版本。暴露版本 = 送漏洞地图！🔧 配置方法在 nginx.conf 的 http 块中添加：server_tokens off;✅ 效果： 原响应头：Server: nginx/1.24.0 优化后：Server: nginx📌 额外建议如果使用了 error_page 自定义错误页，确保页面中也不包含版本信息！🚫 第二步：封堵入口 —— 禁止敏感文件与目录访问很多数据泄露，都是因为一个 .env 或 .git 文件被公开下载！通用防护配置（推荐放在 http 或 server 块）# 禁止访问隐藏文件（以 . 开头） location ~ /\. { deny all; return 404; } # 禁止访问特定敏感文件 location ~* \.(env|git|svn|htaccess|htpasswd|bak|log|sql|zip|tar\.gz)$ { deny all; return 403; } # 禁止访问备份文件（如 config.php.bak） location ~* \.bak$ { deny all; return 403; } # 禁止目录遍历（Nginx 默认已防，但显式加固更安全） location ~ \.\./ { deny all; return 403; }原理说明： ~ 表示正则匹配 ~* 表示不区分大小写 deny all 直接拒绝访问，不返回文件内容🌐 第三步：锁定身份 —— 防 Host 头攻击（关键！）什么是 Host 头攻击？当 Nginx 配置了宽松的 server_name（如 server_name _; 或未设置默认拒绝 server）时，攻击者可构造恶意 Host 头：GET /password-reset HTTP/1.1 Host: attacker.com如果后端代码使用 Host 头生成重置链接（如 https://attacker.com/reset?token=xxx），攻击者就能窃取用户凭证！安全配置方案1. 设置默认拒绝的 server 块在所有 server 块之前，添加一个“兜底”配置：server { listen 80 default_server; listen 443 ssl default_server; server_name _ ""; return 403; } 此配置会拒绝所有未明确匹配的域名请求。2. 明确指定合法域名在你的业务 server 块中，只允许真实域名：server { listen 80; server_name www.yourdomain.com yourdomain.com; # 你的业务配置... }3. （可选）在应用层二次校验即使 Nginx 层做了防护，后端也应校验 Host 是否在白名单内，形成纵深防御。🛠️ 第四步：添加安全响应头（提升浏览器防护）现代浏览器支持多种安全策略，通过响应头启用：add_header X-Content-Type-Options "nosniff" always; add_header X-Frame-Options "DENY" always; add_header X-XSS-Protection "1; mode=block" always; add_header Referrer-Policy "strict-origin-when-cross-origin" always; add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' https:" always;说明： X-Frame-Options: DENY：防点击劫持 X-Content-Type-Options: nosniff：防 MIME 嗅探 always：确保错误页面也携带这些头🧪 验证是否生效1. 检查版本是否隐藏curl -I http://your-domain.com→ 确保 Server 字段不含版本号。2. 测试敏感文件访问curl -I http://your-domain.com/.env→ 应返回 403 或 404，不能返回 200。3. 测试 Host 头攻击curl -H "Host: evil.com" http://your-server-ip/→ 应返回 403，而非业务页面。📋 完整安全配置模板（推荐收藏）# /etc/nginx/nginx.conf 或站点配置 # 隐藏版本 server_tokens off; # 默认拒绝 server（放在最前面！） server { listen 80 default_server; listen 443 ssl default_server; server_name _ ""; return 403; } # 业务 server server { listen 80; server_name yourdomain.com www.yourdomain.com; # 安全响应头 add_header X-Content-Type-Options "nosniff" always; add_header X-Frame-Options "DENY" always; add_header X-XSS-Protection "1; mode=block" always; # 敏感文件防护（可放 http 块全局生效） location ~ /\. { deny all; return 404; } location ~* \.(env|git|bak|log|sql|zip)$ { deny all; return 403; } # 你的业务 location... location / { proxy_pass http://backend; } }🌟 总结：安全网关 4 大核心原则原则配置要点最小暴露隐藏版本、关闭无用模块最小权限只允许合法域名、拒绝未知 Host纵深防御Nginx + 应用层双重校验主动防护添加安全头、阻断敏感路径一个配置完善的 Nginx，胜过十台 WAF！

Cloudflare橙色云启用后 Nginx Proxy Manager的IP白名单和黑名单配置指南 在使用Cloudflare的橙色云（即启用CDN功能）后，许多用户发现Nginx Proxy Manager中的Access Lists（IP地址白名单/黑名单）失效。这通常是因为Cloudflare的代理服务器屏蔽了真实的客户端IP地址，导致Nginx无法直接获取客户端的真实IP，而只能看到Cloudflare的IP地址。本文将介绍如何配置Nginx，以便它能够正确识别和使用Cloudflare传递的真实客户端IP地址，从而确保访问控制列表的正常工作。配置Cloudflare的真实IP头要解决这一问题，首先需要在Nginx中配置，以便它能够识别Cloudflare传递的真实客户端IP地址。Cloudflare通常通过CF-Connecting-IP或X-Forwarded-For头传递真实的客户端IP。以下是具体步骤：在Nginx配置文件中添加以下内容# Cloudflare IPv4 addresses set_real_ip_from 103.21.244.0/22; set_real_ip_from 103.22.200.0/22; set_real_ip_from 103.31.4.0/22; set_real_ip_from 104.16.0.0/13; set_real_ip_from 104.24.0.0/14; set_real_ip_from 108.162.192.0/18; set_real_ip_from 131.0.72.0/22; set_real_ip_from 141.101.64.0/18; set_real_ip_from 162.158.0.0/15; set_real_ip_from 172.64.0.0/13; set_real_ip_from 173.245.48.0/20; set_real_ip_from 188.114.96.0/20; set_real_ip_from 190.93.240.0/20; set_real_ip_from 197.234.240.0/22; set_real_ip_from 198.41.128.0/17; # Cloudflare IPv6 addresses set_real_ip_from 2400:cb00::/32; set_real_ip_from 2606:4700::/32; set_real_ip_from 2803:f800::/32; set_real_ip_from 2405:b500::/32; set_real_ip_from 2405:8100::/32; set_real_ip_from 2a06:98c0::/29; set_real_ip_from 2c0f:f248::/32; real_ip_header CF-Connecting-IP;CloudflareIP 范围 https://www.cloudflare.com/zh-tw/ips/这些IP段是Cloudflare的代理服务器IP地址，通过set_real_ip_from指令，Nginx将信任这些IP地址，并从CF-Connecting-IP头中获取真实的客户端IP。更新Nginx Proxy Manager配置确保Nginx Proxy Manager能够正确使用上述配置。如果Nginx Proxy Manager允许自定义Nginx配置片段，将上述配置片段添加到相应位置。调整访问控制列表确保你的访问控制列表（白名单/黑名单）中的IP地址策略基于真实的客户端IP，而不是Cloudflare的IP地址。实际使用场景访问控制公司A希望只允许公司内部IP地址访问其网站。他们启用了Cloudflare的CDN加速，但发现所有访问请求的IP地址都显示为Cloudflare的代理服务器IP，导致访问控制列表失效。通过上述配置，Nginx能够正确识别真实的客户端IP，从而确保只有公司内部IP地址能够访问网站。日志记录和分析公司B使用Nginx记录访问日志以进行流量分析和安全监控。在启用Cloudflare CDN后，访问日志中显示的IP地址都是Cloudflare的代理服务器IP。通过上述配置，Nginx能够记录真实的客户端IP，从而提供准确的流量分析和安全监控数据。防止DDoS攻击公司C遇到DDoS攻击，攻击流量通过Cloudflare的代理服务器进入，导致Nginx的防护措施失效。通过正确配置Nginx以识别真实的客户端IP，公司C可以更有效地应用防火墙规则，识别并阻止攻击IP，从而提升防护效果。结论通过正确配置 Nginx 以识别 Cloudflare 传递的真实客户端IP地址，可以解决因启用 Cloudflare CDN 功能导致的访问控制列表失效问题。这不仅能确保访问控制列表的正常工作，还能提升日志记录、流量分析和安全防护的准确性。希望本文对你配置 Nginx Proxy Manager 以支持 Cloudflare CDN 功能有所帮助。

Docker 安装 Nginx Proxy Manager 1.背景对于想自己搭建网站的朋友，使用自己个性化域名的朋友，使用Nginx的不在少数，可能也会使用Apache来管理自己的网站，但Nginx轻量又好用，还支持正向/反向代理，谁不喜欢呢？Nginx Proxy Manager就是一款让你能通过网页的一些设置，完成网站的代理配置，无需自己再手动安装Nginx修改配置文件了，大大提高了效率。项目也是开源的，不用担心项目的安全性。2.安装docker安装依然使用我们的老伙计 docker ，但这次要使用到 docker 的伙计: docker-compose，使用 docker-compose 可以帮助我们编排自己的容器，通过一个简单的脚本启动复杂的程序，自动处理依赖项目，从而简化操作。服务器上执行以下命令安装 docker, 安装完成后执行第二条命令，启动并设置开机启动 docker。curl -fsSL https://get.docker.com | bash -s docker --mirror Aliyun systemctl enable --now docker安装docker-composesudo curl -L "https://github.com/docker/compose/releases/download/v2.1.1/docker-compose-$(uname -s)-$(uname -m)" -o /usr/local/bin/docker-compose sudo chmod +x /usr/local/bin/docker-compose ln -s /usr/local/bin/docker-compose /usr/bin/docker-compose检查一下安装是否成功# 查看docker版本 docker -v # 查看docker-compose版本 docker-compose -v如果未能查看 docker-compose 版本可能是因为 /usr/local/bin 没有加入到系统环境变量export PATH=/usr/local/bin:$PATH3.部署Nginx Proxy Manager创建一个目录用于存放 Nginx Proxy Manager 的配置和项目文件mkdir -p /opt/docker/NginxProxyManager && cd /opt/docker/NginxProxyManager创建一个 docker-compose.yml 文件vi docker-compose.yml粘贴以下内容：version: '3' services: app: image: 'jc21/nginx-proxy-manager:latest' restart: unless-stopped ports: - '80:80' - '81:81' - '443:443' volumes: - ./data:/data - ./letsencrypt:/etc/letsencrypt按下键盘上的 ESC 键和 SHIFT+: 键，输入 wq 保存退出。请注意文件间的缩进，如果缩进不正确，可以使用文本编辑器编辑好后上传到服务器上。创建 docker 容器docker-compose up -d4.访问控制页面浏览器输入你的ip:81，如果有防火墙，可以临时开放 81 的 tcp 端口。初始的用户和密码如下：Email: admin@example.com Password: changeme

Nginx核心面试题40问，含答案！ Nginx核心面试题40问，含答案！什么是Nginx？Nginx 有哪些优点？Nginx应用场景？Nginx怎么处理请求的？Nginx 是如何实现高并发的？什么是正向代理？什么是反向代理？反向代理服务器的优点是什么?Nginx目录结构有哪些？Nginx配置文件nginx.conf有哪些属性模块?cookie和session区别？为什么 Nginx 不使用多线程？nginx和apache的区别什么是动态资源、静态资源分离？为什么要做动、静分离？什么叫 CDN 服务？Nginx怎么做的动静分离？Nginx负载均衡的算法怎么实现的?策略有哪些?如何用Nginx解决前端跨域问题？Nginx虚拟主机怎么配置?location的作用是什么？限流怎么做的？漏桶流算法和令牌桶算法知道？Nginx配置高可用性怎么配置？Nginx怎么判断别IP不可访问？在nginx中，如何使用未定义的服务器名称来阻止处理请求？怎么限制浏览器访问？Rewrite全局变量是什么？Nginx 如何实现后端服务的健康检查？Nginx 如何开启压缩？ngx\_http\_upstream_module的作用是什么?什么是C10K问题?Nginx是否支持将请求压缩到上游?如何在Nginx中获得当前的时间?用Nginx服务器解释-s的目的是什么?如何在Nginx服务器上添加模块?生产中如何设置worker进程的数量呢？nginx状态什么是Nginx？Nginx是一个 轻量级/高性能的反向代理Web服务器，用于 HTTP、HTTPS、SMTP、POP3 和 IMAP 协议。他实现非常高效的反向代理、负载平衡，他可以处理2-3万并发连接数，官方监测能支持5万并发，现在中国使用nginx网站用户有很多，例如：新浪、网易、 腾讯等。Nginx 有哪些优点？跨平台、配置简单。非阻塞、高并发连接：处理 2-3 万并发连接数，官方监测能支持 5 万并发。内存消耗小：开启 10 个 Nginx 才占 150M 内存。成本低廉，且开源。稳定性高，宕机的概率非常小。内置的健康检查功能：如果有一个服务器宕机，会做一个健康检查，再发送的请求就不会发送到宕机的服务器了。重新将请求提交到其他的节点上Nginx应用场景？http服务器。Nginx是一个http服务可以独立提供http服务。可以做网页静态服务器。虚拟主机。可以实现在一台服务器虚拟出多个网站，例如个人网站使用的虚拟机。反向代理，负载均衡。当网站的访问量达到一定程度后，单台服务器不能满足用户的请求时，需要用多台服务器集群可以使用nginx做反向代理。并且多台服务器可以平均分担负载，不会应为某台服务器负载高宕机而某台服务器闲置的情况。nginz 中也可以配置安全管理、比如可以使用Nginx搭建API接口网关,对每个接口服务进行拦截。Nginx怎么处理请求的？server {        # 第一个Server区块开始，表示一个独立的虚拟主机站点    listen       80； # 提供服务的端口，默认80    server_name  localhost; # 提供服务的域名主机名    location / { # 第一个location区块开始      root   html; # 站点的根目录，相当于Nginx的安装目录      index  index.html index.html;  # 默认的首页文件，多个用空格分开 } # 第一个location区块结果 首先，Nginx 在启动时，会解析配置文件，得到需要监听的端口与 IP 地址，然后在 Nginx 的 Master 进程里面先初始化好这个监控的Socket(创建 S ocket，设置 addr、reuse 等选项，绑定到指定的 ip 地址端口，再 listen 监听)。然后，再 fork(一个现有进程可以调用 fork 函数创建一个新进程。由 fork 创建的新进程被称为子进程)出多个子进程出来。之后，子进程会竞争 accept 新的连接。此时，客户端就可以向 nginx 发起连接了。当客户端与nginx进行三次握手，与 nginx 建立好一个连接后。此时，某一个子进程会 accept 成功，得到这个建立好的连接的 Socket ，然后创建 nginx 对连接的封装，即 ngx\_connection\_t 结构体。接着，设置读写事件处理函数，并添加读写事件来与客户端进行数据的交换。最后，Nginx 或客户端来主动关掉连接，到此，一个连接就寿终正寝了。Nginx 是如何实现高并发的？如果一个 server 采用一个进程(或者线程)负责一个request的方式，那么进程数就是并发数。那么显而易见的，就是会有很多进程在等待中。等什么？最多的应该是等待网络传输。而 Nginx 的异步非阻塞工作方式正是利用了这点等待的时间。在需要等待的时候，这些进程就空闲出来待命了。因此表现为少数几个进程就解决了大量的并发问题。Nginx是如何利用的呢，简单来说：同样的 4 个进程，如果采用一个进程负责一个 request 的方式，那么，同时进来 4 个 request 之后，每个进程就负责其中一个，直至会话关闭。期间，如果有第 5 个request进来了。就无法及时反应了，因为 4 个进程都没干完活呢，因此，一般有个调度进程，每当新进来了一个 request ，就新开个进程来处理。「回想下，BIO 是不是存在酱紫的问题？」Nginx 不这样，每进来一个 request ，会有一个 worker 进程去处理。但不是全程的处理，处理到什么程度呢？处理到可能发生阻塞的地方，比如向上游（后端）服务器转发 request ，并等待请求返回。那么，这个处理的 worker 不会这么傻等着，他会在发送完请求后，注册一个事件：“如果 upstream 返回了，告诉我一声，我再接着干”。于是他就休息去了。此时，如果再有 request 进来，他就可以很快再按这种方式处理。而一旦上游服务器返回了，就会触发这个事件，worker 才会来接手，这个 request 才会接着往下走。这就是为什么说，Nginx 基于事件模型。由于 web server 的工作性质决定了每个 request 的大部份生命都是在网络传输中，实际上花费在 server 机器上的时间片不多。这是几个进程就解决高并发的秘密所在。即：webserver 刚好属于网络 IO 密集型应用，不算是计算密集型。异步，非阻塞，使用 epoll ，和大量细节处的优化。也正是 Nginx 之所以然的技术基石。什么是正向代理？一个位于客户端和原始服务器(origin server)之间的服务器，为了从原始服务器取得内容，客户端向代理发送一个请求并指定目标(原始服务器)，然后代理向原始服务器转交请求并将获得的内容返回给客户端。客户端才能使用正向代理。正向代理总结就一句话：代理端代理的是客户端。例如说：我们使用的OpenVPN 等等。什么是反向代理？反向代理（Reverse Proxy）方式，是指以代理服务器来接受 Internet上的连接请求，然后将请求，发给内部网络上的服务器并将从服务器上得到的结果返回给 Internet 上请求连接的客户端，此时代理服务器对外就表现为一个反向代理服务器。❝反向代理总结就一句话：代理端代理的是服务端。❞反向代理服务器的优点是什么?反向代理服务器可以隐藏源服务器的存在和特征。它充当互联网云和web服务器之间的中间层。这对于安全方面来说是很好的，特别是当您使用web托管服务时。「Nginx目录结构有哪些？」tree /usr/local/nginx /usr/local/nginx ├── client_body_temp ├── conf                             # Nginx所有配置文件的目录 │   ├── fastcgi.conf                 # fastcgi相关参数的配置文件 │   ├── fastcgi.conf.default         # fastcgi.conf的原始备份文件 │   ├── fastcgi_params               # fastcgi的参数文件 │   ├── fastcgi_params.default        │   ├── koi-utf │   ├── koi-win │   ├── mime.types                   # 媒体类型 │   ├── mime.types.default │   ├── nginx.conf                   # Nginx主配置文件 │   ├── nginx.conf.default │   ├── scgi_params                  # scgi相关参数文件 │   ├── scgi_params.default   │   ├── uwsgi_params                 # uwsgi相关参数文件 │   ├── uwsgi_params.default │   └── win-utf ├── fastcgi_temp                     # fastcgi临时数据目录 ├── html                             # Nginx默认站点目录 │   ├── 50x.html                     # 错误页面优雅替代显示文件，例如当出现502错误时会调用此页面 │   └── index.html                   # 默认的首页文件 ├── logs                             # Nginx日志目录 │   ├── access.log                   # 访问日志文件 │   ├── error.log                    # 错误日志文件 │   └── nginx.pid                    # pid文件，Nginx进程启动后，会把所有进程的ID号写到此文件 ├── proxy_temp                       # 临时目录 ├── sbin                             # Nginx命令目录 │   └── nginx                        # Nginx的启动命令 ├── scgi_temp                        # 临时目录 └── uwsgi_temp                       # 临时目录 Nginx配置文件nginx.conf有哪些属性模块?worker_processes 1；# worker进程的数量 events { # 事件区块开始 worker_connections 1024；# 每个worker进程支持的最大连接数 } # 事件区块结束 http { # HTTP区块开始 include mime.types；# Nginx支持的媒体类型库文件 default_type application/octet-stream；# 默认的媒体类型 sendfile on；# 开启高效传输模式 keepalive_timeout 65；# 连接超时 server { # 第一个Server区块开始，表示一个独立的虚拟主机站点 listen 80；# 提供服务的端口，默认80 server_name localhost；# 提供服务的域名主机名 location / { # 第一个location区块开始 root html；# 站点的根目录，相当于Nginx的安装目录 index index.html index.htm；# 默认的首页文件，多个用空格分开 } # 第一个location区块结果 error_page 500502503504 /50x.html；# 出现对应的http状态码时，使用50x.html回应客户 location = /50x.html { # location区块开始，访问50x.html root html；# 指定对应的站点目录为html } } ...... cookie和session区别？共同：存放用户信息。存放的形式：key-value格式 变量和变量内容键值对。区别：cookie存放在客户端浏览器每个域名对应一个cookie，不能跨跃域名访问其他cookie用户可以查看或修改cookiehttp响应报文里面给你浏览器设置钥匙（用于打开浏览器上锁头）session:存放在服务器（文件，数据库，redis）存放敏感信息锁头为什么 Nginx 不使用多线程？Apache: 创建多个进程或线程，而每个进程或线程都会为其分配 cpu 和内存（线程要比进程小的多，所以 worker 支持比 perfork 高的并发），并发过大会榨干服务器资源。Nginx: 采用单线程来异步非阻塞处理请求（管理员可以配置 Nginx 主进程的工作进程的数量）(epoll)，不会为每个请求分配 cpu 和内存资源，节省了大量资源，同时也减少了大量的 CPU 的上下文切换。所以才使得 Nginx 支持更高的并发。nginx和apache的区别轻量级，同样起web服务，比apache占用更少的内存和资源。抗并发，nginx处理请求是异步非阻塞的，而apache则是阻塞性的，在高并发下nginx能保持低资源，低消耗高性能。高度模块化的设计，编写模块相对简单。最核心的区别在于apache是同步多进程模型，一个连接对应一个进程，nginx是异步的，多个连接可以对应一个进程。什么是动态资源、静态资源分离?动态资源、静态资源分离，是让动态网站里的动态网页根据一定规则把不变的资源和经常变的资源区分开来，动静资源做好了拆分以后我们就可以根据静态资源的特点将其做缓存操作，这就是网站静态化处理的核心思路。动态资源、静态资源分离简单的概括是：动态文件与静态文件的分离。为什么要做动、静分离？在我们的软件开发中，有些请求是需要后台处理的（如：.jsp,.do 等等），有些请求是不需要经过后台处理的（如：css、html、jpg、js 等等文件），这些不需要经过后台处理的文件称为静态文件，否则动态文件。因此我们后台处理忽略静态文件。这会有人又说那我后台忽略静态文件不就完了吗？当然这是可以的，但是这样后台的请求次数就明显增多了。在我们对资源的响应速度有要求的时候，我们应该使用这种动静分离的策略去解决动、静分离将网站静态资源（HTML，JavaScript，CSS，img等文件）与后台应用分开部署，提高用户访问静态代码的速度，降低对后台应用访问这里我们将静态资源放到 Nginx 中，动态资源转发到 Tomcat 服务器中去。当然，因为现在七牛、阿里云等 CDN 服务已经很成熟，主流的做法，是把静态资源缓存到 CDN 服务中，从而提升访问速度。相比本地的 Nginx 来说，CDN 服务器由于在国内有更多的节点，可以实现用户的就近访问。并且，CDN 服务可以提供更大的带宽，不像我们自己的应用服务，提供的带宽是有限的。什么叫 CDN 服务？CDN ，即内容分发网络。其目的是，通过在现有的 Internet中 增加一层新的网络架构，将网站的内容发布到最接近用户的网络边缘，使用户可就近取得所需的内容，提高用户访问网站的速度。一般来说，因为现在 CDN 服务比较大众，所以基本所有公司都会使用 CDN 服务。「Nginx怎么做的动静分离？」只需要指定路径对应的目录。location可以使用正则表达式匹配。并指定对应的硬盘中的目录。如下：（操作都是在Linux上）location /image/ {     root   /usr/local/static/;     autoindex on; } 步骤：# 创建目录 mkdir /usr/local/static/image # 进入目录 cd /usr/local/static/image # 上传照片 photo.jpg # 重启nginx sudo nginx -s reload 打开浏览器 输入 server_name/image/1.jpg 就可以访问该静态图片了Nginx负载均衡的算法怎么实现的?策略有哪些?为了避免服务器崩溃，大家会通过负载均衡的方式来分担服务器压力。将对台服务器组成一个集群，当用户访问时，先访问到一个转发服务器，再由转发服务器将访问分发到压力更小的服务器。Nginx负载均衡实现的策略有以下五种：轮询(默认)每个请求按时间顺序逐一分配到不同的后端服务器，如果后端某个服务器宕机，能自动剔除故障系统。upstream backserver {   server 192.168.0.12;   server 192.168.0.13;  }  权重 weightweight的值越大，分配到的访问概率越高，主要用于后端每台服务器性能不均衡的情况下。其次是为在主从的情况下设置不同的权值，达到合理有效的地利用主机资源。# 权重越高，在被访问的概率越大，如上例，分别是20%，80%。 upstream backserver {   server 192.168.0.12 weight=2;   server 192.168.0.13 weight=8;  }  ip_hash(IP绑定)每个请求按访问IP的哈希结果分配，使来自同一个IP的访客固定访问一台后端服务器，并且可以有效解决动态网页存在的session共享问题upstream backserver {   ip_hash;   server 192.168.0.12:88;   server 192.168.0.13:80;  }  fair(第三方插件)必须安装upstream\_fair模块。对比 weight、ip\_hash更加智能的负载均衡算法，fair算法可以根据页面大小和加载时间长短智能地进行负载均衡，响应时间短的优先分配。# 哪个服务器的响应速度快，就将请求分配到那个服务器上。 upstream backserver {   server server1;   server server2;   fair;  }  url_hash(第三方插件)必须安装Nginx的hash软件包按访问url的hash结果来分配请求，使每个url定向到同一个后端服务器，可以进一步提高后端缓存服务器的效率。upstream backserver {   server squid1:3128;   server squid2:3128;   hash $request_uri;   hash_method crc32;  } 如何用Nginx解决前端跨域问题？使用Nginx转发请求。把跨域的接口写成调本域的接口，然后将这些接口转发到真正的请求地址。Nginx虚拟主机怎么配置?基于域名的虚拟主机，通过域名来区分虚拟主机——应用：外部网站基于端口的虚拟主机，通过端口来区分虚拟主机——应用：公司内部网站，外部网站的管理后台基于 ip 的虚拟主机。基于虚拟主机配置域名需要建立/data/www /data/bbs目录，windows本地hosts添加虚拟机ip地址对应的域名解析；对应域名网站目录下新增index.html文件；# 当客户端访问www.lijie.com,监听端口号为80,直接跳转到data/www目录下文件 server { listen 80; server_name www.lijie.com; location / { root data/www; index index.html index.htm; } } # 当客户端访问www.lijie.com,监听端口号为80,直接跳转到data/bbs目录下文件 server { listen 80; server_name bbs.lijie.com; location / { root data/bbs; index index.html index.htm; } } 基于端口的虚拟主机使用端口来区分，浏览器使用域名或ip地址:端口号 访问# 当客户端访问www.lijie.com,监听端口号为8080,直接跳转到data/www目录下文件 server { listen 8080; server_name 8080.lijie.com; location / { root data/www; index index.html index.htm; } } # 当客户端访问www.lijie.com,监听端口号为80直接跳转到真实ip服务器地址 127.0.0.1:8080 server { listen 80; server_name www.lijie.com; location / { proxy_pass http://127.0.0.1:8080; index index.html index.htm; } } location的作用是什么？location指令的作用是根据用户请求的URI来执行不同的应用，也就是根据用户请求的网站URL进行匹配，匹配成功即进行相关的操作。location的语法能说出来吗？❝注意：~ 代表自己输入的英文字母❞Location正则案例# 优先级1,精确匹配，根路径 location =/ { return 400; } # 优先级2,以某个字符串开头,以av开头的，优先匹配这里，区分大小写 location ^~ /av { root /data/av/; } # 优先级3,区分大小写的正则匹配，匹配/media*****路径 location ~ /media { alias /data/static/; } # 优先级4,不区分大小写的正则匹配，所有的****.jpg|gif|png 都走这里 location ~* .*\.(jpg|gif|png|js|css)$ { root /data/av/; } # 优先级5,通用匹配 location / { return 403; } 限流怎么做的？Nginx限流就是限制用户请求速度，防止服务器受不了限流有3种正常限制访问频率（正常流量）突发限制访问频率（突发流量）限制并发连接数Nginx的限流都是基于漏桶流算法❝实现三种限流算法❞1、正常限制访问频率（正常流量）：限制一个用户发送的请求，我Nginx多久接收一个请求。Nginx中使用ngx_http_limit_req_module模块来限制的访问频率，限制的原理实质是基于漏桶算法原理来实现的。在nginx.conf配置文件中可以使用limit_req_zone命令及limit_req命令限制单个IP的请求处理频率。# 定义限流维度，一个用户一分钟一个请求进来，多余的全部漏掉 limit_req_zone $binary_remote_addr zone=one:10m rate=1r/m; # 绑定限流维度 server{ location/seckill.html{ limit_req zone=zone; proxy_pass http://lj_seckill; } } 1r/s代表1秒一个请求，1r/m一分钟接收一个请求， 如果Nginx这时还有别人的请求没有处理完，Nginx就会拒绝处理该用户请求。2、突发限制访问频率（突发流量）：限制一个用户发送的请求，我Nginx多久接收一个。上面的配置一定程度可以限制访问频率，但是也存在着一个问题：如果突发流量超出请求被拒绝处理，无法处理活动时候的突发流量，这时候应该如何进一步处理呢？Nginx提供burst参数结合nodelay参数可以解决流量突发的问题，可以设置能处理的超过设置的请求数外能额外处理的请求数。我们可以将之前的例子添加burst参数以及nodelay参数：# 定义限流维度，一个用户一分钟一个请求进来，多余的全部漏掉 limit_req_zone $binary_remote_addr zone=one:10m rate=1r/m; # 绑定限流维度 server{ location /seckill.html{ limit_req zone=zone burst=5 nodelay; proxy_pass http://lj_seckill; } } 为什么就多了一个 burst=5 nodelay; 呢，多了这个可以代表Nginx对于一个用户的请求会立即处理前五个，多余的就慢慢来落，没有其他用户的请求我就处理你的，有其他的请求的话我Nginx就漏掉不接受你的请求3、 限制并发连接数Nginx中的ngx\_http\_limit\_conn\_module模块提供了限制并发连接数的功能，可以使用limit\_conn\_zone指令以及limit_conn执行进行配置。接下来我们可以通过一个简单的例子来看下：http { limit_conn_zone $binary_remote_addr zone=myip:10m; limit_conn_zone $server_name zone=myServerName:10m; } server { location / { limit_conn myip 10; limit_conn myServerName 100; rewrite / http://www.lijie.net permanent; } } 上面配置了单个IP同时并发连接数最多只能10个连接，并且设置了整个虚拟服务器同时最大并发数最多只能100个链接。当然，只有当请求的header被服务器处理后，虚拟服务器的连接数才会计数。刚才有提到过Nginx是基于漏桶算法原理实现的，实际上限流一般都是基于漏桶算法和令牌桶算法实现的。漏桶流算法和令牌桶算法知道？漏桶算法漏桶算法思路很简单，我们把水比作是请求，漏桶比作是系统处理能力极限，水先进入到漏桶里，漏桶里的水按一定速率流出，当流出的速率小于流入的速率时，由于漏桶容量有限，后续进入的水直接溢出（拒绝请求），以此实现限流。漏桶算法令牌桶算法令牌桶算法的原理也比较简单，我们可以理解成医院的挂号看病，只有拿到号以后才可以进行诊病。系统会维护一个令牌（token）桶，以一个恒定的速度往桶里放入令牌（token），这时如果有请求进来想要被处理，则需要先从桶里获取一个令牌（token），当桶里没有令牌（token）可取时，则该请求将被拒绝服务。令牌桶算法通过控制桶的容量、发放令牌的速率，来达到对请求的限制。Nginx配置高可用性怎么配置？当上游服务器(真实访问服务器)，一旦出现故障或者是没有及时相应的话，应该直接轮训到下一台服务器，保证服务器的高可用Nginx配置代码：server { listen 80; server_name www.lijie.com; location / { ### 指定上游服务器负载均衡服务器 proxy_pass http://backServer; ###nginx与上游服务器(真实访问的服务器)超时时间 后端服务器连接的超时时间_发起握手等候响应超时时间 proxy_connect_timeout 1s; ###nginx发送给上游服务器(真实访问的服务器)超时时间 proxy_send_timeout 1s; ### nginx接受上游服务器(真实访问的服务器)超时时间 proxy_read_timeout 1s; index index.html index.htm; } } Nginx怎么判断别IP不可访问？# 如果访问的ip地址为192.168.9.115,则返回403 if  ($remote_addr = 192.168.9.115) {      return 403;   } 在nginx中，如何使用未定义的服务器名称来阻止处理请求？只需将请求删除的服务器就可以定义为：服务器名被保留一个空字符串，他在没有主机头字段的情况下匹配请求，而一个特殊的nginx的非标准代码被返回，从而终止连接。怎么限制浏览器访问？## 不允许谷歌浏览器访问 如果是谷歌浏览器返回500 if ($http_user_agent ~ Chrome) { return 500; } Rewrite全局变量是什么？$remote_addr //获取客户端ip $binary_remote_addr //客户端ip（二进制) $remote_port //客户端port，如：50472 $remote_user //已经经过Auth Basic Module验证的用户名 $host //请求主机头字段，否则为服务器名称，如:blog.sakmon.com $request //用户请求信息，如：GET ?a=1&b=2 HTTP/1.1 $request_filename //当前请求的文件的路径名，由root或alias和URI request组合而成，如：/2013/81.html $status //请求的响应状态码,如:200 $body_bytes_sent // 响应时送出的body字节数数量。即使连接中断，这个数据也是精确的,如：40 $content_length // 等于请求行的“Content_Length”的值 $content_type // 等于请求行的“Content_Type”的值 $http_referer // 引用地址 $http_user_agent // 客户端agent信息,如：Mozilla/5.0 (Windows NT 5.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/29.0.1547.76 Safari/537.36 $args //与$query_string相同 等于当中URL的参数(GET)，如a=1&b=2 $document_uri //与$uri相同 这个变量指当前的请求URI，不包括任何参数(见$args) 如:/2013/81.html $document_root //针对当前请求的根路径设置值 $hostname //如：centos53.localdomain $http_cookie //客户端cookie信息 $cookie_COOKIE //cookie COOKIE变量的值 $is_args //如果有$args参数，这个变量等于”?”，否则等于”"，空值，如? $limit_rate //这个变量可以限制连接速率，0表示不限速 $query_string // 与$args相同 等于当中URL的参数(GET)，如a=1&b=2 $request_body // 记录POST过来的数据信息 $request_body_file //客户端请求主体信息的临时文件名 $request_method //客户端请求的动作，通常为GET或POST,如：GET $request_uri //包含请求参数的原始URI，不包含主机名，如：/2013/81.html?a=1&b=2 $scheme //HTTP方法（如http，https）,如：http $uri //这个变量指当前的请求URI，不包括任何参数(见$args) 如:/2013/81.html $request_completion //如果请求结束，设置为OK. 当请求未结束或如果该请求不是请求链串的最后一个时，为空(Empty)，如：OK $server_protocol //请求使用的协议，通常是HTTP/1.0或HTTP/1.1，如：HTTP/1.1 $server_addr //服务器IP地址，在完成一次系统调用后可以确定这个值 $server_name //服务器名称，如：blog.sakmon.com $server_port //请求到达服务器的端口号,如：80 Nginx 如何实现后端服务的健康检查？方式一 利用 nginx 自带模块 ngx\_http\_proxy\_module 和 ngx\_http\_upstream\_module 对后端节点做健康检查。方式二(推荐) 利用 nginx\_upstream\_check_module 模块对后端节点做健康检查。Nginx 如何开启压缩？开启nginx gzip压缩后，网页、css、js等静态资源的大小会大大的减少，从而可以节约大量的带宽，提高传输效率，给用户快的体验。虽然会消耗cpu资源，但是为了给用户更好的体验是值得的。开启的配置如下：http {   # 开启gzip   gzip on;     # 启用gzip压缩的最小文件；小于设置值的文件将不会被压缩   gzip_min_length 1k;     # gzip 压缩级别 1-10    gzip_comp_level 2;     # 进行压缩的文件类型。   gzip_types text/plain application/javascript application/x-javascript text/css application/xml text/javascript application/x-httpd-php image/jpeg image/gif image/png;     # 是否在http header中添加Vary: Accept-Encoding，建议开启   gzip_vary on; } 保存并重启nginx，刷新页面（为了避免缓存，请强制刷新）就能看到效果了。以谷歌浏览器为例，通过F12看请求的响应头部：我们可以先来对比下，如果我们没有开启zip压缩之前，我们的对应的文件大小，如下所示：现在我们开启了gzip进行压缩后的文件的大小，可以看到如下所示：并且我们查看响应头会看到gzip这样的压缩。gzip压缩前后效果对比：jquery原大小90kb，压缩后只有30kb。gzip虽然好用，但是以下类型的资源不建议启用。1、图片类型原因：图片如jpg、png本身就会有压缩，所以就算开启gzip后，压缩前和压缩后大小没有多大区别，所以开启了反而会白白的浪费资源。（Tips：可以试试将一张jpg图片压缩为zip，观察大小并没有多大的变化。虽然zip和gzip算法不一样，但是可以看出压缩图片的价值并不大）2、大文件原因：会消耗大量的cpu资源，且不一定有明显的效果。ngx_http_upstream_module的作用是什么?ngx_http_upstream_module用于定义可通过fastcgi传递、proxy传递、uwsgi传递、memcached传递和scgi传递指令来引用的服务器组。什么是C10K问题?C10K问题是指无法同时处理大量客户端(10,000)的网络套接字。Nginx是否支持将请求压缩到上游?您可以使用Nginx模块gunzip将请求压缩到上游。gunzip模块是一个过滤器，它可以对不支持“gzip”编码方法的客户机或服务器使用“内容编码:gzip”来解压缩响应。微信搜索公众号：信安黑客技术，回复：黑客 领取资料 。如何在Nginx中获得当前的时间?要获得Nginx的当前时间，必须使用SSI模块、和date_local的变量。Proxy_set_header THE-TIME $date_gmt; 用Nginx服务器解释-s的目的是什么?用于运行Nginx -s参数的可执行文件。如何在Nginx服务器上添加模块?在编译过程中，必须选择Nginx模块，因为Nginx不支持模块的运行时间选择。生产中如何设置worker进程的数量呢？在有多个cpu的情况下，可以设置多个worker，worker进程的数量可以设置到和cpu的核心数一样多，如果在单个cpu上起多个worker进程，那么操作系统会在多个worker之间进行调度，这种情况会降低系统性能，如果只有一个cpu，那么只启动一个worker进程就可以了。nginx状态码499：服务端处理时间过长，客户端主动关闭了连接。502：502 状态码的可能情况就比较多了。FastCGI 进程是否已经启动FastCGI worker进程数是否不够FastCGI 执行时间过长fastcgi_connect_timeout 300; fastcgi_send_timeout 300; fastcgi_read_timeout 300; FastCGI Buffer不够，nginx和apache一样，有前端缓冲限制，可以调整缓冲参数fastcgi_buffer_size 32k; fastcgi_buffers 8 32k; Proxy Buffer不够，如果你用了Proxying，调整proxy_buffer_size 16k; proxy_buffers 4 16k;php脚本执行时间过长将php-fpm.conf的0s的0s改成一个时间