Nginx绑定域名配置

引言

一台服务器跑多个站点，靠server_name区分访问哪个域名，配合DNS解析和站点根目录，Nginx按Host头把请求路由到对应虚拟主机。配置顺序写错或server_name不匹配，会落到默认站点。

基础域名站点

server {
    listen 80;
    server_name www.example.com example.com;
    root /var/www/example;
    index index.html index.php;
}

server_name可并列写主域名和裸域名，root指向站点目录。

裸域名跳转到www

server {
    listen 80;
    server_name example.com;
    return 301 https://www.example.com$request_uri;
}

避免两个域名都解析内容造成重复收录，统一到一个规范域名。

多个域名并列

server_name api.example.com admin.example.com;

同一套站点对应多个子域名时直接空格分隔。

反向代理绑定域名

server {
    listen 80;
    server_name app.example.com;
    location / {
        proxy_pass http://127.0.0.1:8080;
        proxy_set_header Host $host;
    }
}

域名指向后端服务，记得把Host头透传给上游。

配置后检查重载

nginx -t
nginx -s reload

先测语法再平滑重载，reload不断连接。

匹配规则

• 精确域名优先，然后通配符，最后默认站点；
• 没匹配上server_name的请求落到default_server；
• 通配符*.example.com不能匹配example.com裸域；
• 多站点注意别让无关域名被默认站点接住。

注意事项

• DNS要先把A记录解析到服务器IP，否则域名打不开；
• server_name区分大小写但通常小写；
• 80改443需另配SSL证书块；
• return 301统一域名利于SEO避免重复；
• 防火墙和安全组放行80、443；
• 多个server块listen 80，靠server_name分流。

总结

server_name在server块绑定域名，可并列多个，裸域301跳www统一规范，反代时透传Host，改完nginx -t检查再reload。匹配精确优先于通配符，未命中走默认站点，前提是DNS解析到位、端口放行，统一域名有助于SEO避免重复收录。

Nginx监听端口配置

引言

listen是server块的第一行指令，决定Nginx在哪个端口接收请求。一个server监听一个端口加域名组合，多站点靠server_name区分，多端口靠listen叠加。配错端口是最常见的502和无法访问根源。

基础HTTP监听

server {
    listen 80;
    server_name example.com;
    root /var/www/site;
    index index.html;
}

监听80端口，匹配example.com域名的请求进这个站点。

HTTPS监听

server {
    listen 443 ssl;
    server_name example.com;
    ssl_certificate /etc/nginx/ssl/cert.pem;
    ssl_certificate_key /etc/nginx/ssl/key.pem;
}

443必须加ssl关键字，同时配证书和私钥路径。

监听多个端口

server {
    listen 80;
    listen 8080;
    server_name example.com;
}

一个server块写多行listen，80和8080都走同一套配置。

只监听指定IP

listen 127.0.0.1:8080;

只绑回环地址，外部访问不到，适合内部管理接口。

80跳转到443

server {
    listen 80;
    server_name example.com;
    return 301 https://$host$request_uri;
}

单独一个80 server做永久跳转，把HTTP请求引导到HTTPS。

默认服务器

server {
    listen 80 default_server;
}

default_server指定未匹配域名时的兜底站点，防直接用IP访问暴露默认页。

注意事项

• 端口冲突先ss -tlnp查占用，别盲目改；
• 443漏写ssl会导致证书不生效；
• 云服务器还要在安全组放行对应端口；
• listen不带IP默认绑0.0.0.0全部网卡；
• 改端口后先nginx -t再reload；
• 301跳转的旧URL参数用$request_uri保留。

总结

listen 80配HTTP，listen 443 ssl配HTTPS并带证书，多行listen监听多端口，IP:端口限定绑定网卡，80 server用return 301跳HTTPS，default_server做域名兜底。改前ss查占用、nginx -t校验、安全组放行，绑定IP时注意内外网可达性，跳转用$host和$request_uri保住完整地址。

Nginx配置检查测试

引言

改完Nginx配置直接reload最容易踩坑：语法错、证书路径错、端口被占会导致Nginx起不来甚至站点全挂。规范流程是先检查语法，通过后再平滑重载，出问题能快速回退。

语法检查

nginx -t

检查默认配置文件语法，输出syntax ok和test is successful才说明配置无误。

指定配置文件检查

nginx -t -c /etc/nginx/nginx.conf

自定义路径时用-c指定，避免检查错文件。

平滑重载

nginx -s reload

不中断现有连接重新加载配置，改动生效不宕机。

查看编译参数和版本

nginx -V

大写V看版本和编译模块，确认是否包含ssl、gzip、stream等模块。

打印生效配置

nginx -T

大写T会把所有include进来的配置打印出来，排查重复server或覆盖时用。

出错常见原因

• 括号不配对、分号漏写；
• 证书key路径不存在或权限600不对；
• listen端口已被其他进程占用；
• upstream后端地址写错；
• include路径下的文件本身语法错。

注意事项

• 永远先-t再reload，禁止跳过检查；
• 改配置前备份原文件，出错可立刻回退；
• -T输出很长，重定向到文件再查；
• reload失败先看error.log定位行号；
• 生产环境改完curl本机验证再放行；
• 多台机器逐台灰度，不要一次全改。

总结

nginx -t检查语法，-c指定文件，-s reload平滑生效，-V看编译模块，-T打印完整配置。铁律是先检查通过再重载，改前备份、出错看error.log、本机curl验证后再上线，生产逐台灰度，避免一次改全量导致整站不可用。

Nginx默认站点配置

引言

直接用IP或未匹配到server_name的域名访问时，Nginx会落到默认站点。装好Nginx自带的欢迎页就是默认server，安全上建议改掉，避免暴露版本或被扫描利用。

默认站点如何确定

同一端口下，第一个server块、或带default_server标记的就是默认站点：

server {
    listen 80 default_server;
    server_name _;
    root /usr/share/nginx/html;
    index index.html;
}

server_name用_占位，表示匹配任意未命中的主机名。

配置占位拒绝页

对外只暴露正式站点时，默认站点直接返回444或简单403：

server {
    listen 80 default_server;
    server_name _;
    return 444;
}

444是Nginx特有，直接断开连接，不返回内容。

隐藏版本号

http {
    server_tokens off;
}

避免错误页暴露Nginx版本，减少针对性漏洞扫描。

自定义默认首页

server {
    listen 80 default_server;
    server_name _;
    root /var/www/default;
    index index.html;
    location / {
        try_files $uri $uri/ =404;
    }
}

多端口默认

HTTPS同理，443也要配default_server：

server {
    listen 443 ssl default_server;
    server_name _;
    # 自签或占位证书，否则握手失败
    return 444;
}

注意事项

• 一台机器同端口只能有一个default_server；
• 不配默认站，未匹配域名会落到第一个server，可能串站点；
• 改完nginx -t校验再reload；
• 云主机IP直扫建议默认站返回444，不暴露首页；
• 区分default_server和servername ，前者是优先级标记；
• SSL默认站必须有证书，否则浏览器握手报错。

总结

默认站点由default_server或同端口首个server决定，用server_name _占位。安全做法是把默认站返回444拒绝、server_tokens off隐藏版本，443也要配默认拒绝站，避免IP直扫串到正式站点。改完务必-t校验再reload。

Nginx代理缓存配置

引言

反向代理每次都回源取页面，后端压力大、首屏慢。Nginx自带proxy_cache，把后端响应存到本地磁盘，命中时直接返回，既减轻源站又加快响应，适合静态资源和不常变的页面。

定义缓存区

http块里先声明缓存目录和大小：

proxy_cache_path /data/nginx/cache levels=1:2 keys_zone=mycache:10m max_size=1g inactive=7d;

• keys_zone=mycache:10m 是缓存名和索引内存；
• max_size=1g 磁盘上限；
• inactive=7d 7天没访问自动清理。

代理站点启用缓存

server或location块：

location / {
    proxy_cache mycache;
    proxy_cache_key $host$uri$is_args$args;
    proxy_cache_valid 200 304 1h;
    proxy_cache_valid 404 1m;
    proxy_cache_methods GET HEAD;
    proxy_pass http://backend;
}

200/304缓存1小时，404只存1分钟。

命中状态标识

加响应头方便排查：

add_header X-Cache-Status $upstream_cache_status;

HIT命中、MISS未命中、EXPIRED过期、BYPASS绕过。

绕过缓存的场景

登录后动态内容不缓存：

proxy_no_cache $http_cookie;
proxy_cache_bypass $http_cookie;

带cookie时不读不写缓存。

主动清除缓存

# 配置删除接口需要第三方模块或手动删目录
rm -rf /data/nginx/cache/*

更新内容后清对应目录，或按URL前缀匹配删除。

注意事项

• 缓存目录要先mkdir并给nginx读写权限；
• 带POST的接口不要缓存；
• 频繁变动的页面缓存时间设短或不缓存；
• 缓存键要带参数，避免不同query串内容；
• 配置改完nginx -t校验再reload；
• 大文件下载用分片缓存更稳妥。

总结

proxy_cache_path在http块定义缓存区，location里proxy_cache启用、proxy_cache_valid设有效期、proxy_cache_key拼缓存键，用X-Cache-Status看命中。静态和低频页面开缓存扛压力，动态登录内容用cookie绕过，更新后及时清理。

Nginx代理WebSocket

引言

聊天、实时推送、在线协作这类场景用WebSocket长连接。前端经过Nginx访问后端WS服务时，如果只按普通HTTP反代配置，握手会失败，因为WebSocket要先发起Upgrade协议升级，Nginx必须把升级头透传给后端。

WebSocket握手原理

客户端先发HTTP请求，带Upgrade: websocket和Connection: Upgrade头，后端同意后把HTTP协议升级成持久双向长连接。Nginx默认不透传这两个头，导致握手400。

标准代理配置

location /ws/ {
    proxy_pass http://127.0.0.1:8080;
    proxy_http_version 1.1;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection "upgrade";
    proxy_set_header Host $host;
    proxy_read_timeout 3600s;
}

• proxy_http_version 1.1：WS基于HTTP/1.1；
• Upgrade $http_upgrade：透传客户端升级协议；
• Connection "upgrade"：标记连接升级；
• read_timeout拉长：长连接默认60秒无数据会被Nginx断开。

用map统一处理

不同location可能同时有HTTP和WS，写map避免硬编码：

map $http_upgrade $connection_upgrade {
    default upgrade;
    ''      close;
}
# location内
proxy_set_header Connection $connection_upgrade;

普通HTTP请求$http_upgrade为空时走close，WS请求走upgrade，一套配置兼容。

常见问题

• 握手400/502：没加Upgrade和Connection头；
• 连接几十秒自动断开：read_timeout太短，按需拉长或服务端发心跳；
• wss(HTTPS)走Nginx终止TLS后，后端用ws即可；
• 后端端口和proxy_pass写对，别漏http://。

注意事项

• 长连接超时靠心跳和read_timeout共同维持；
• 集群WS要配合粘性会话或后端共享状态，否则消息发不到正确连接；
• HTTPS页面必须用wss://，浏览器会拦截混合内容；
• 改配置nginx -t后reload。

总结

Nginx代理WebSocket核心是加proxy_http_version 1.1、透传Upgrade和Connection头、拉长read_timeout，用map兼容普通HTTP。握手失败先查这三个头，断线先查超时和心跳。

Nginx静态缓存配置

引言

CSS、JS、图片、字体这类不变的静态资源，每次都回源取一遍浪费带宽和时间。用Nginx给静态资源加浏览器缓存响应头，让浏览器本地留存，第二次访问直接读本地，首屏和重复访问速度明显提升。

配置示例

在server或location块中：

location ~* \.(css|js|jpg|jpeg|png|gif|ico|svg|woff2?)$ {
    expires 30d;
    add_header Cache-Control "public, immutable";
    access_log off;
}

参数说明

• expires 30d：设置缓存30天，浏览器本地留存；
• Cache-Control public：允许中间缓存（CDN、代理）；
• immutable：文件内容不变，缓存期内不再发条件请求；
• access_log off：静态资源不记访问日志，减少IO。

带版本号更新

静态文件内容更新后，旧缓存会导致用户看到老文件。常用办法是文件名带哈希或版本，如app.[hash].js，内容一变文件名就变，浏览器当成新文件重新下载：

# 配合构建工具输出的带hash文件名，缓存可拉长到一年
expires 1y;

动态文件不要长缓存

HTML页面、接口响应要短缓存或不缓存，避免用户看到过期页面：

location / {
    add_header Cache-Control "no-cache";
}

验证方法

浏览器F12网络面板看响应头：Cache-Control、Expires，再看状态码，二次访问200 from disk/memory cache即生效。

注意事项

• 缓存过期时间按资源稳定性设置，图片长、HTML短；
• 更新静态资源靠改文件名版本号，而不是缩短缓存；
• 不要给动态接口、登录页面加public长缓存；
• 改配置后nginx -t检查再reload。

总结

Nginx静态缓存用expires加Cache-Control给css/js/图片设置本地缓存，稳定资源配合版本号长缓存，动态页面不缓存。浏览器F12验证响应头，平衡访问速度与内容新鲜度。

Nginx开启Gzip压缩

引言

HTML、CSS、JS、JSON这类文本资源直接传输体积大，首屏慢。Nginx开启Gzip后，服务端先压缩再发送，浏览器解压，通常文本体积能减少60%以上，是零成本提升访问速度的手段。

配置示例

在http块或server块加入：

gzip on;
gzip_min_length 1k;
gzip_comp_level 6;
gzip_types text/plain text/css application/javascript application/json image/svg+xml;
gzip_vary on;
gzip_disable "MSIE [1-6]\.";

参数说明

• gzip on：开关；
• gzip_min_length：小于1k不压缩，避免小文件压缩得不偿失；
• gzip_comp_level：压缩等级1-9，6比较均衡，太高CPU占用大；
• gzip_types：指定压缩的MIME类型，text/html默认自带；
• gzip_vary on：响应加Vary:Accept-Encoding，避免缓存问题；
• gzip_disable：兼容老旧IE浏览器。

生效验证

改完执行nginx -t检查语法，再reload。浏览器F12网络面板看响应头Content-Encoding:gzip即生效。

注意事项

• 图片、视频、PDF本身已压缩，不要再gzip，浪费CPU；
• 压缩等级不要盲目拉满，大文件压缩吃CPU；
• 静态资源可在CDN层提前压缩；
• 配合Brotli现代压缩效果更好，需Nginx额外模块支持。

总结

Gzip是文本类资源提速标配，开启后配置类型、大小阈值、合理压缩等级，reload生效，用响应头验证。不压缩图片视频，平衡传输体积与服务器CPU。

Nginx防盗链原理

引言

网站图片、视频、静态资源经常被其他站点直接引用，消耗服务器流量与带宽。Nginx防盗链通过校验请求来源Referer，阻止第三方网站直接嵌入你的资源链接，降低服务器流量损耗。

原理说明

浏览器访问页面加载图片时，请求头会携带Referer，代表来源页面地址。Nginx读取该请求头，判断域名是否属于本站，非信任域名直接返回403拒绝访问。

局限：Referer可被客户端伪造，防盗链属于基础防护，不是100%安全，重要资源建议搭配token鉴权。

Nginx配置示例

location ~* \.(jpg|png|gif|mp4)$ {
    valid_referers none blocked *.0454.wang;
    if ($invalid_referer) {
        return 403;
    }
}

配置解释：

• valid_referers配置允许的来源；
• none允许直接浏览器地址栏访问资源；
• 匹配不到白名单，$invalid_referer生效，返回403。

进阶优化

• 重要资源可使用url签名，生成带时效token的资源地址；
• CDN环境，需要同步在CDN配置防盗链；
• 部分爬虫、APP请求不带Referer，按需调整规则。

总结

Nginx Referer防盗链是低成本的静态资源保护手段，适合图片博客、素材站点。适合作为第一层防护，高安全场景需要结合URL签名二次校验。

前言

每次访问网站都要重新下载图片、CSS、JS？太浪费了！配置Nginx静态资源缓存，让浏览器本地缓存这些文件，下次访问直接从本地读，速度快好几倍。

一、什么是浏览器缓存

浏览器访问网站后，把图片、CSS、JS等静态文件存在本地。下次再访问，直接从本地读，不用再从服务器下载。

好处：

• 加载更快
• 省带宽
• 减轻服务器压力

二、配置静态资源缓存

打开Nginx配置文件，在server段加：

location ~* \.(js|css|png|jpg|jpeg|gif|ico|svg|woff|woff2|ttf|eot)$ {
    expires 30d;
    add_header Cache-Control "public, no-transform";
}

参数解释

不同文件缓存时间

# 图片缓存30天
location ~* \.(png|jpg|jpeg|gif|ico|svg)$ {
    expires 30d;
}

# CSS/JS缓存7天
location ~* \.(css|js)$ {
    expires 7d;
}

# HTML不缓存（保证更新及时）
location ~* \.html$ {
    expires -1;
}

三、验证配置

nginx -t

重载Nginx：

nginx -s reload

四、验证是否生效

方法1：curl测试

curl -I https://www.0454.wang/static/logo.png

看到响应头有：

Cache-Control: max-age=2592000
Expires: ...

就是生效了。

方法2：浏览器F12

按F12 → Network → 点图片请求 → 看Response Headers：

Cache-Control: max-age=2592000

五、缓存更新策略

问题： 缓存了30天，但我更新了图片怎么办？

方法1：文件名加版本号

<img src="/logo.png?v=20240101">

浏览器看到文件名变了，就会重新下载。

方法2：文件名加hash

<img src="/logo.abc123.png">

构建工具自动加hash，内容变了hash就变。

六、常见坑

坑1：HTML也被缓存了

问题： 更新了网站内容，但用户看到的还是旧的。

解决： HTML不缓存

location ~* \.html$ {
    expires -1;
}

坑2：缓存时间太长

问题： 图片更新了，用户30天都看不到新的。

解决： 用版本号或hash。

坑3：CDN缓存了旧文件

问题： Nginx配置了，但CDN没刷新。

解决： 去CDN后台刷新缓存。

坑4：没加expires就没缓存

问题： 配置了但不生效。

检查： 看location有没有匹配到。

七、完整配置示例

server {
    listen 80;
    server_name www.0454.wang;
    root /var/www/html;

    # HTML不缓存
    location ~* \.html$ {
        expires -1;
    }

    # 图片缓存30天
    location ~* \.(png|jpg|jpeg|gif|ico|svg)$ {
        expires 30d;
        add_header Cache-Control "public";
    }

    # CSS/JS缓存7天
    location ~* \.(css|js)$ {
        expires 7d;
        add_header Cache-Control "public";
    }
}

八、缓存时间怎么设

九、怎么清除缓存

浏览器端

• 强制刷新：Ctrl + F5
• 清除浏览器缓存

服务器端

• 更新文件名版本号
• 重载Nginx

总结

记住：

1. 静态资源加缓存，提升速度
2. 图片缓存30天
3. CSS/JS缓存7天
4. HTML不缓存
5. 更新了就改文件名版本号
6. 用curl验证是否生效

最常用配置：

location ~* \.(js|css|png|jpg|jpeg|gif|ico|svg)$ {
    expires 30d;
    add_header Cache-Control "public";
}

遇到问题加QQ23979811 协助处理

前言

网站打开慢？带宽不够？开启Nginx的Gzip压缩，能把文件体积压缩70%以上，加载速度立马提升好几倍。本文讲怎么配置。

一、什么是Gzip

Gzip是一种压缩算法，Nginx在发给浏览器之前先把文件压缩，浏览器收到后自动解压。

效果：

• HTML/CSS/JS文件压缩70%左右
• 减少带宽
• 加载更快

二、配置Gzip

打开Nginx配置文件：

vi /etc/nginx/nginx.conf

在http段里加：

gzip on;
gzip_min_length 1k;
gzip_comp_level 6;
gzip_types text/plain text/css application/json application/javascript text/xml application/xml application/xml+rss text/javascript image/svg+xml;
gzip_vary on;
gzip_buffers 16 8k;
gzip_http_version 1.1;

参数解释

压缩级别说明

推荐用6，不要用9，太吃CPU。

三、验证配置

nginx -t

重载Nginx：

nginx -s reload

四、验证是否生效

方法1：curl测试

curl -I -H "Accept-Encoding: gzip" https://www.0454.wang/

看到响应头有：

Content-Encoding: gzip

就是生效了。

方法2：浏览器F12

按F12打开开发者工具 → Network → 点请求 → 看Response Headers：

Content-Encoding: gzip

五、哪些文件该压缩

该压缩的

• HTML文件
• CSS文件
• JS文件
• JSON数据
• SVG图片

不该压缩的

• 图片（jpg/png）：本身已经压缩过了
• 视频：太大，压缩没意义
• 压缩包（zip/rar）：已经压缩过了

六、常见坑

坑1：只在http段配了，但server段覆盖了

检查： 看server段有没有gzip off。

坑2：gzip_types没写全

问题： JS文件没压缩。

解决： 加上application/javascript。

坑3：压缩级别太高

问题： 用了9，CPU飙升。

解决： 改成6。

坑4：CDN缓存了旧文件

问题： 配置了gzip但CDN没生效。

解决： 刷新CDN缓存。

七、完整配置示例

http {
    gzip on;
    gzip_min_length 1k;
    gzip_comp_level 6;
    gzip_types text/plain text/css application/json application/javascript text/xml application/xml application/xml+rss text/javascript image/svg+xml;
    gzip_vary on;
    gzip_buffers 16 8k;
    gzip_http_version 1.1;

    server {
        listen 80;
        server_name www.0454.wang;
        root /var/www/html;
        index index.html;
    }
}

八、对比效果

没开Gzip

HTML文件：100KB

开了Gzip

HTML文件：25KB

省了75%！

总结

记住：

1. 开启gzip on
2. 压缩级别用6
3. gzip_types要写全
4. 图片不要压缩
5. 用curl验证是否生效

最常用配置：

gzip on;
gzip_min_length 1k;
gzip_comp_level 6;
gzip_types text/plain text/css application/json application/javascript text/xml application/xml;
gzip_vary on;

遇到问题加QQ23979811 协助处理

前言

网站突然打不开了，浏览器显示"502 Bad Gateway"？这是Nginx最常见的报错之一。本文讲502是什么意思、常见原因、怎么排查和解决。

一、502是什么意思

502 Bad Gateway = Nginx作为代理，从后端服务器（比如PHP-FPM）拿不到正常的响应。

简单说：Nginx收到了你的请求，然后去问后端"给我数据"，后端没理它或者报错了，Nginx就返回502。

二、常见原因

原因1：PHP-FPM没启动

后端PHP服务没跑，Nginx找不到人。

检查：

ps aux | grep php-fpm

没输出就是没启动。

启动：

systemctl start php-fpm

或者：

service php-fpm start

原因2：PHP-FPM端口不对

Nginx配置里写的PHP-FPM地址不对。

比如：

fastcgi_pass 127.0.0.1:9000;

但PHP-FPM实际监听的是 /tmp/php-cgi.sock。

检查PHP-FPM监听：

netstat -tlnp | grep php-fpm

或者：

ss -tlnp | grep php-fpm

原因3：PHP代码报错

PHP代码有致命错误，直接挂了。

看PHP错误日志：

tail -f /var/log/php-fpm/www-error.log

或者：

tail -f /var/log/php/error.log

原因4：PHP超时了

程序跑太慢，超过Nginx或PHP-FPM的超时时间。

改Nginx超时：

fastcgi_read_timeout 300;

改PHP-FPM超时：

request_terminate_timeout = 300

原因5：PHP-FPM进程数不够

请求太多，PHP-FPM忙不过来。

看进程数：

ps aux | grep php-fpm | wc -l

改配置：

pm.max_children = 50
pm.start_servers = 20

原因6：内存不够了

PHP进程占满内存，系统把PHP杀了。

看内存：

free -h

看dmesg：

dmesg | grep oom

三、排查步骤

第一步：看Nginx错误日志

tail -f /var/log/nginx/error.log

常见报错：

第二步：看PHP-FPM状态

systemctl status php-fpm

看是不是running。

第三步：看PHP错误日志

tail -f /var/log/php-fpm/www-error.log

看PHP代码有没有报错。

第四步：看系统资源

top
free -h
df -h

看CPU、内存、磁盘够不够。

四、常见解决方法

方法1：重启PHP-FPM

systemctl restart php-fpm

方法2：改Nginx配置

location ~ \.php$ {
    fastcgi_pass   127.0.0.1:9000;
    fastcgi_index  index.php;
    fastcgi_param  SCRIPT_FILENAME  $document_root$fastcgi_script_name;
    include        fastcgi_params;

    # 超时时间
    fastcgi_read_timeout 300;
    fastcgi_send_timeout 300;
}

方法3：改PHP-FPM进程数

pm = dynamic
pm.max_children = 50
pm.start_servers = 20
pm.min_spare_servers = 10
pm.max_spare_servers = 30

改完重启：

systemctl restart php-fpm

方法4：开PHP错误显示

display_errors = On
error_reporting = E_ALL

五、常见坑

坑1：只重启Nginx，不重启PHP-FPM

502是后端的问题，重启Nginx没用。

正确： 重启PHP-FPM。

坑2：文件路径不对

fastcgi_param SCRIPT_FILENAME /scripts$fastcgi_script_name;

错！ 应该是：

fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;

坑3：PHP-FPM版本不对

装了PHP7但Nginx还找PHP5的sock。

检查：

ls -la /var/run/php/

坑4：权限问题

PHP-FPM没权限读网站目录的文件。

解决：

chown -R www:www /www/wwwroot/

总结

记住：

1. 502 = Nginx拿不到后端响应
2. 先看Nginx错误日志
3. 再看PHP-F启没启动
4. 然后看PHP代码有没有报错
5. 最后看系统资源够不够

最快排查：

tail -f /var/log/nginx/error.log
systemctl status php-fpm

遇到问题加QQ23979811 协助处理

Nginx 配置HTTPS证书

现在网站都要HTTPS，配置证书是必备技能。

1. 为什么要HTTPS

• 加密传输，防窃听
• 浏览器安全标识
• SEO 排名加分
• 现在主流浏览器都要求HTTPS

2. 证书文件

一般有两个文件：

• .crt：证书文件
• .key：私钥文件

# 证书文件放在这里
/etc/nginx/ssl/
├── example.com.crt
└── example.com.key

3. 基本HTTPS配置

server {
    listen 443 ssl;
    server_name example.com;

    # 证书配置
    ssl_certificate /etc/nginx/ssl/example.com.crt;
    ssl_certificate_key /etc/nginx/ssl/example.com.key;

    # 其他配置
    location / {
        root /var/www/html;
        index index.html;
    }
}

4. HTTP 跳转 HTTPS

# HTTP 重定向到 HTTPS
server {
    listen 80;
    server_name example.com;
    return 301 https://$host$request_uri;
}

5. 优化配置

server {
    listen 443 ssl http2;
    server_name example.com;

    ssl_certificate /etc/nginx/ssl/example.com.crt;
    ssl_certificate_key /etc/nginx/ssl/example.com.key;

    # 优化SSL配置
    ssl_session_timeout 1d;
    ssl_session_cache shared:SSL:10m;
    ssl_session_tickets off;

    # 加密套件
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;
    ssl_prefer_server_ciphers off;

    # HSTS
    add_header Strict-Transport-Security "max-age=63072000" always;
}

6. 检查配置

# 检查配置语法
nginx -t

# 重载配置
nginx -s reload

7. 证书申请

免费证书：

• Let's Encrypt（用 certbot 申请）
• 阿里云免费证书
• 腾讯云免费证书

certbot 申请：

# 安装 certbot
yum install certbot python3-certbot-nginx

# 自动申请并配置
certbot --nginx -d example.com

自动续期：

# 测试续期
certbot renew --dry-run

# 加入定时任务
0 3 * * * certbot renew --quiet

8. 常见问题

1）证书不生效

• 检查证书路径对不对
• 检查文件权限
• 重载 Nginx

2）浏览器提示不安全

• 证书过期了
• 域名不匹配
• 中间证书没装全

3）HTTPS 访问慢

• 开启 HTTP/2
• 优化 SSL 会话缓存

4）证书续期失败

• 检查域名解析
• 检查80端口是否通
• 手动运行 certbot 看报错

9. 证书有效期

• 免费证书一般 3 个月
• 要设置自动续期
• 不然到期网站就挂了

10. 生产建议

1）强制 HTTPS

• HTTP 全部 301 跳转
• 开启 HSTS

2）开启 HTTP/2

• listen 443 ssl http2
• 提升访问速度

3）定期检查证书

• 监控证书到期时间
• 提前续期

4）中间证书

• 有些证书要把中间证书合并
• 不然浏览器不信任

总结

Nginx 配置HTTPS要点：

• 配置证书和私钥路径
• HTTP 跳转 HTTPS
• 开启 HTTP/2
• 优化 SSL 会话缓存
• 用 certbot 免费申请
• 设置自动续期
• 定期检查证书有效期
• 开启 HSTS
• 注意中间证书问题

HTTPS 是网站标配，一定要配置好。

Nginx 反向代理配置

反向代理是 Nginx 最常用的功能之一，配置很简单。

1. 什么是反向代理

反向代理就是：用户访问 Nginx，Nginx 把请求转发给后端服务器，再把结果返回给用户。

作用：

• 隐藏后端服务器
• 负载均衡
• 统一入口
• 缓存静态内容

2. 基本配置

server {
    listen 80;
    server_name example.com;

    location / {
        proxy_pass http://127.0.0.1:8080;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}

说明：

• proxy_pass：后端地址
• proxy_set_header：传递请求头

3. 常用请求头

location / {
    proxy_pass http://127.0.0.1:8080;

    # 传递域名
    proxy_set_header Host $host;

    # 传递真实IP
    proxy_set_header X-Real-IP $remote_addr;

    # 传递完整请求链
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

    # 传递协议
    proxy_set_header X-Forwarded-Proto $scheme;
}

4. 超时配置

location / {
    proxy_pass http://127.0.0.1:8080;

    # 连接超时
    proxy_connect_timeout 60s;

    # 发送超时
    proxy_send_timeout 60s;

    # 读取超时
    proxy_read_timeout 60s;
}

5. WebSocket 代理

location /ws {
    proxy_pass http://127.0.0.1:8080;
    proxy_http_version 1.1;

    # WebSocket 升级
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection "upgrade";
}

6. 负载均衡

# 定义后端服务器组
upstream backend {
    server 127.0.0.1:8080 weight=1;
    server 127.0.0.1:8081 weight=2;
    server 127.0.0.1:8082 max_fails=3 fail_timeout=30s;
}

server {
    listen 80;
    server_name example.com;

    location / {
        proxy_pass http://backend;
        proxy_set_header Host $host;
    }
}

7. 静态文件直接返回

server {
    listen 80;
    server_name example.com;

    # 静态文件直接处理
    location ~* \.(js|css|png|jpg|gif)$ {
        root /var/www/static;
        expires 30d;
    }

    # 其他请求转发后端
    location / {
        proxy_pass http://127.0.0.1:8080;
        proxy_set_header Host $host;
    }
}

8. 配置生效

# 检查配置
nginx -t

# 重载配置
nginx -s reload

9. 常见问题

1）502 Bad Gateway

• 后端服务没启动
• 后端端口不对
• 后端超时

2）504 Gateway Timeout

• 后端处理太慢
• 调整超时时间

3）获取不到真实IP

• 没配置 X-Real-IP
• 后端没读取请求头

4）WebSocket 连不上

• 没配置 Upgrade 和 Connection 头

10. 生产建议

1）一定要传请求头

• Host
• X-Real-IP
• X-Forwarded-For

2）合理设置超时

• 根据业务调整
• 不要太长也不要太短

3）静态文件 Nginx 直接处理

• 减轻后端压力
• 提高性能

4）开启 gzip 压缩

gzip on;
gzip_types text/css application/javascript;

总结

Nginx 反向代理配置要点：

• proxy_pass 指定后端地址
• 一定要传请求头
• 常用超时配置
• WebSocket 要升级头
• upstream 做负载均衡
• 静态文件直接返回
• 配置完 nginx -t 检查
• 502 检查后端是否启动
• 生产环境传全请求头

反向代理是 Nginx 基本功，一定要熟练掌握。

Nginx 访问日志配置

访问日志是排查问题和分析流量的重要依据，配置好很有必要。

1. 默认日志位置

# 访问日志
/var/log/nginx/access.log

# 错误日志
/var/log/nginx/error.log

2. 日志格式

Nginx 默认有两种日志格式：

combined（默认）

log_format combined '$remote_addr - $remote_user [$time_local] "$request" '
                    '$status $body_bytes_sent "$http_referer" '
                    '"$http_user_agent"';

common

log_format common '$remote_addr [$time_local] "$request" $status $body_bytes_sent';

3. 自定义日志格式

在 nginx.conf 的 http 块添加：

http {
    log_format main '$remote_addr - $remote_user [$time_local] '
                    '"$request" $status $body_bytes_sent '
                    '"$http_referer" "$http_user_agent" '
                    '$request_time $upstream_response_time';

    access_log /var/log/nginx/access.log main;
}

4. 常用日志变量

• $remote_addr： 客户端IP
• $time_local： 本地时间
• $request： 请求行
• $status： 状态码
• $body_bytes_sent： 发送字节数
• $http_referer： 来源页面
• $http_user_agent： 浏览器信息
• $request_time： 请求总耗时
• $upstream_response_time： 后端响应时间

5. 按站点分开日志

不同站点用不同日志文件：

server {
    listen 80;
    server_name a.com;
    access_log /var/log/nginx/a.access.log;
}

server {
    listen 80;
    server_name b.com;
    access_log /var/log/nginx/b.access.log;
}

6. 关闭日志

静态资源不记日志：

location ~* \.(jpg|jpeg|png|gif|css|js)$ {
    access_log off;
}

7. 日志切割

Nginx 自带日志切割：

http {
    # 每天切割，保留30天
    access_log /var/log/nginx/access.log main;
    log_not_found off;
}

也可以用 logrotate：

# 配置文件
/etc/logrotate.d/nginx

8. 分析日志

统计访问量

# 统计总请求数
wc -l /var/log/nginx/access.log

# 统计独立IP
awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -rn

统计状态码

awk '{print $9}' /var/log/nginx/access.log | sort | uniq -c

统计访问最多的URL

awk '{print $7}' /var/log/nginx/access.log | sort | uniq -c | sort -rn | head -10

总结

Nginx 访问日志配置要点：

• 默认日志在 /var/log/nginx/
• combined 是默认格式
• 自定义格式添加 $request_time 等变量
• 不同站点分开日志文件
• 静态资源可以关闭日志
• 日志要定期切割
• 用 awk 分析日志很方便

做好日志配置，排查问题和分析流量都有用。

Nginx 反向代理原理

反向代理是 Nginx 最常用的功能，搞懂原理很有必要。

1. 什么是反向代理

正向代理：代理客户端，比如翻墙工具。
反向代理：代理服务器，客户端不知道真实服务器。

用户请求 Nginx，Nginx 再转发给后端服务器，用户以为自己直接访问的就是 Nginx。

2. 为什么用反向代理

1）隐藏真实服务器

• 后端服务器 IP 不暴露
• 更安全

2）负载均衡

• 多个后端服务器分摊请求
• 提高并发能力

3）统一入口

• 多个服务用一个域名
• 不同路径转发到不同服务

4）SSL 卸载

• HTTPS 证书在 Nginx 配置
• 后端用 HTTP 就行

5）缓存静态内容

• Nginx 直接返回静态资源
• 减轻后端压力

3. 基本配置

server {
    listen 80;
    server_name example.com;

    location / {
        proxy_pass http://127.0.0.1:8080;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
    }
}

4. 常用代理头

proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;

后端通过这些头获取真实客户端信息。

5. 路径转发示例

# 根路径转发到PHP服务
location / {
    proxy_pass http://127.0.0.1:8080;
}

# /api 转发到后端接口
location /api/ {
    proxy_pass http://127.0.0.1:3000/;
}

# /static 直接读本地文件
location /static/ {
    root /var/www;
}

6. 超时设置

# 连接超时
proxy_connect_timeout 60s;

# 读取超时
proxy_read_timeout 60s;

# 发送超时
proxy_send_timeout 60s;

7. 常见问题

1）后端获取不到真实IP

• 检查 X-Real-IP 头是否设置
• 后端代码是否读取这个头

2）WebSocket 连接失败

• 需要添加 Upgrade 头
• 配置 HTTP/1.1

proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";
proxy_http_version 1.1;

3）大文件上传失败

• 修改 client_max_body_size
• 增加 proxy_read_timeout

总结

Nginx 反向代理要点：

• 代理服务器，隐藏真实后端
• 实现负载均衡、统一入口
• 配置 proxy_pass 转发
• 记得设置常用代理头
• 后端通过请求头获取真实客户端信息
• 注意超时和上传大小限制
• WebSocket 需要特殊配置

做 Web 开发，反向代理是必备技能。

前言

用Docker跑Nginx，想改网站文件、改配置，每次进容器里改太麻烦。挂载出来就方便多了。本文讲怎么挂载网页和配置文件。

一、基本运行

最简单的跑法

docker run -d --name nginx -p 80:80 nginx

问题： 网站文件和配置都在容器里，改起来不方便。

二、挂载网页目录

完整命令

docker run -d \
  --name nginx \
  -p 80:80 \
  -v /data/www:/usr/share/nginx/html \
  nginx

解释

• 宿主机 /data/www 目录
• 容器里 /usr/share/nginx/html 目录

这样直接在宿主机改网页文件，刷新浏览器就生效了。

测试

在宿主机创建index.html：

echo "<h1>Hello Docker Nginx</h1>" > /data/www/index.html

浏览器访问：

http://服务器IP

就能看到了。

三、挂载配置文件

1. 先从容器里拷出默认配置

docker run -d --name nginx nginx
docker cp nginx:/etc/nginx/nginx.conf /data/nginx/nginx.conf
docker cp nginx:/etc/nginx/conf.d /data/nginx/conf.d
docker rm -f nginx

2. 挂载配置文件

docker run -d \
  --name nginx \
  -p 80:80 \
  -v /data/www:/usr/share/nginx/html \
  -v /data/nginx/nginx.conf:/etc/nginx/nginx.conf \
  -v /data/nginx/conf.d:/etc/nginx/conf.d \
  nginx

3. 改配置

直接在宿主机改 /data/nginx/conf.d/default.conf，改完重载：

docker exec nginx nginx -s reload

四、挂载日志

docker run -d \
  --name nginx \
  -p 80:80 \
  -v /data/www:/usr/share/nginx/html \
  -v /data/nginx/logs:/var/log/nginx \
  nginx

日志直接在宿主机看：

tail -f /data/nginx/logs/access.log

五、Docker Compose完整配置

version: '3'
services:
  nginx:
    image: nginx:alpine
    container_name: nginx
    restart: always
    ports:
      - "80:80"
      - "443:443"
    volumes:
      - /data/www:/usr/share/nginx/html
      - /data/nginx/nginx.conf:/etc/nginx/nginx.conf
      - /data/nginx/conf.d:/etc/nginx/conf.d
      - /data/nginx/logs:/var/log/nginx

启动：

docker-compose up -d

六、常用操作

重载配置

改了配置文件后：

docker exec nginx nginx -s reload

查看日志

docker logs nginx
# 实时看
docker logs -f nginx

进容器

docker exec -it nginx sh

七、常见坑

坑1：挂载后网站403

原因： 宿主机目录权限不对。

解决：

chmod -R 755 /data/www
chown -R nginx:nginx /data/www

坑2：改了配置不生效

原因： 没重载配置。

解决：

docker exec nginx nginx -s reload

坑3：挂载文件不存在，变成目录

-v /data/nginx.conf:/etc/nginx/nginx.conf

如果 /data/nginx.conf 不存在，Docker会自动建一个叫nginx.conf的目录。

解决： 先创建文件：

touch /data/nginx.conf

坑4：端口被占用

80端口被宿主机的Nginx占了。

解决： 停掉宿主机的Nginx，或者换端口。

坑5：改了代码不生效

如果用了CDN或者浏览器缓存，强刷一下（Ctrl+F5）。

八、多站点配置

在 /data/nginx/conf.d/ 下建多个配置文件：

/data/nginx/conf.d/
├── site1.conf
├── site2.conf
└── default.conf

site1.conf：

server {
    listen 80;
    server_name site1.com;
    root /data/www/site1;
    index index.html;
}

改完重载：

docker exec nginx nginx -s reload

九、HTTPS配置

挂载证书：

docker run -d \
  --name nginx \
  -p 80:80 \
  -p 443:443 \
  -v /data/www:/usr/share/nginx/html \
  -v /data/nginx/conf.d:/etc/nginx/conf.d \
  -v /data/ssl:/etc/nginx/ssl \
  nginx

配置文件里引用证书：

server {
    listen 443 ssl;
    server_name example.com;
    ssl_certificate /etc/nginx/ssl/cert.pem;
    ssl_certificate_key /etc/nginx/ssl/key.pem;
    root /data/www;
}

总结

记住：

1. 挂载网页目录：-v /data/www:/usr/share/nginx/html
2. 挂载配置文件：-v /data/nginx/nginx.conf:/etc/nginx/nginx.conf
3. 挂载日志：-v /data/nginx/logs:/var/log/nginx
4. 改完配置重载：docker exec nginx nginx -s reload

最常用：

docker run -d --name nginx -p 80:80 \
  -v /data/www:/usr/share/nginx/html \
  -v /data/nginx/conf.d:/etc/nginx/conf.d \
  nginx

遇到问题加QQ23979811 协助处理

前言

手动装Nginx、PHP、MySQL太麻烦，用Docker Compose一键部署LNMP环境，几分钟搞定。

一、项目结构

lnmp/
├── docker-compose.yml
├── nginx/
│   ├── conf.d/
│   │   └── default.conf
│   └── nginx.conf
├── php/
│   └── php.ini
├── mysql/
│   └── my.cnf
└── www/
    └── index.php

二、docker-compose.yml

version: '3'

services:
  nginx:
    image: nginx:latest
    container_name: lnmp_nginx
    ports:
      - "80:80"
      - "443:443"
    volumes:
      - ./nginx/conf.d:/etc/nginx/conf.d
      - ./nginx/nginx.conf:/etc/nginx/nginx.conf
      - ./www:/var/www/html
    depends_on:
      - php
    networks:
      - lnmp

  php:
    image: php:fpm
    container_name: lnmp_php
    volumes:
      - ./www:/var/www/html
      - ./php/php.ini:/usr/local/etc/php/php.ini
    networks:
      - lnmp

  mysql:
    image: mysql:5.7
    container_name: lnmp_mysql
    ports:
      - "3306:3306"
    volumes:
      - ./mysql/data:/var/lib/mysql
      - ./mysql/my.cnf:/etc/mysql/conf.d/my.cnf
    environment:
      MYSQL_ROOT_PASSWORD: 123456
      MYSQL_DATABASE: mydb
    networks:
      - lnmp

networks:
  lnmp:
    driver: bridge

三、Nginx配置

nginx/conf.d/default.conf

server {
    listen       80;
    server_name  localhost;
    root   /var/www/html;
    index  index.php index.html;

    location / {
        try_files $uri $uri/ /index.php?$query_string;
    }

    location ~ \.php$ {
        fastcgi_pass   php:9000;
        fastcgi_index  index.php;
        fastcgi_param  SCRIPT_FILENAME  /var/www/html$fastcgi_script_name;
        include        fastcgi_params;
    }
}

四、PHP配置

php/php.ini

[PHP]
date.timezone = Asia/Shanghai
upload_max_filesize = 20M
post_max_size = 20M
memory_limit = 128M

五、MySQL配置

mysql/my.cnf

[mysqld]
character-set-server = utf8mb4
collation-server = utf8mb4_general_ci

六、测试文件

www/index.php

<?php
phpinfo();
?>

七、启动

cd lnmp
docker-compose up -d

查看状态

docker-compose ps

访问

http://localhost

能看到phpinfo页面就是成功了。

八、常用命令

九、连接MySQL

从宿主机连接

mysql -h 127.0.0.1 -P 3306 -u root -p123456

从PHP连接

<?php
$pdo = new PDO('mysql:host=mysql;dbname=mydb', 'root', '123456');
echo "连接成功";
?>

注意：host填mysql，不是localhost，是docker-compose.yml里的服务名。

十、安装PHP扩展

进入PHP容器

docker-compose exec php bash

安装pdo_mysql

docker-php-ext-install pdo_mysql
docker-php-ext-install mysqli

重启PHP

docker-compose restart php

常见坑

坑1：Nginx报502

502 Bad Gateway，原因是PHP容器没启动，或者地址不对。

解决：确认PHP容器在运行，fastcgi_pass填服务名php:9000。

坑2：MySQL启动失败

原因：数据目录权限不对，或者密码没设。

解决：确认MYSQL_ROOT_PASSWORD设了，数据目录权限改成777。

坑3：文件修改不生效

改了www里的文件，浏览器刷新没变。

解决：确认volumes挂载了./www:/var/www/html。

坑4：端口被占用

port is already allocated，原因是宿主机80端口被占了。

解决：改端口，比如改成8080。

坑5：数据丢失

删了容器，MySQL数据没了。

解决：一定要挂载数据卷，./mysql/data:/var/lib/mysql。

总结

部署五步：建项目目录结构，写docker-compose.yml，写配置文件，docker-compose up -d启动，浏览器访问测试。

记住：数据一定要挂载，不然删容器数据就没了。

遇到问题加QQ23979811 协助处理

Nginx 负载均衡配置

多台服务器分流，提高网站并发能力，Nginx 负载均衡很常用。

1. 什么是负载均衡

• 多台服务器做同样的服务
• Nginx 把请求分发给不同服务器
• 提高并发能力，一台挂了其他还能用

2. 基础配置

upstream myserver {
    server 127.0.0.1:8080;
    server 127.0.0.1:8081;
    server 127.0.0.1:8082;
}

server {
    listen 80;
    server_name www.example.com;

    location / {
        proxy_pass http://myserver;
    }
}

3. 常用分发策略

1）轮询（默认）

• 一个接一个轮流分

  upstream myserver {
  server 127.0.0.1:8080;
  server 127.0.0.1:8081;
  }

2）加权轮询

• 性能好的服务器多分点

  upstream myserver {
  server 127.0.0.1:8080 weight=3;
  server 127.0.0.1:8081 weight=1;
  }

3）ip_hash

• 同一个IP固定访问同一台

  upstream myserver {
  ip_hash;
  server 127.0.0.1:8080;
  server 127.0.0.1:8081;
  }

4. 健康检查

upstream myserver {
    server 127.0.0.1:8080 max_fails=3 fail_timeout=30s;
    server 127.0.0.1:8081 max_fails=3 fail_timeout=30s;
}

• max_fails：失败几次标记为挂掉
• fail_timeout：多久后重试

5. 常用参数

upstream myserver {
    # 备用服务器，其他都挂了才用
    server 127.0.0.1:8080 backup;

    # 不参与负载均衡
    server 127.0.0.1:8081 down;
}

6. 注意事项

• 多台服务器数据要同步（Session、数据库）
• Session 共享用 Redis
• 文件上传用共享存储

总结

Nginx 负载均衡要点：

• upstream 定义服务器组
• proxy_pass 转发到组
• 轮询、加权、ip_hash 策略
• 健康检查自动剔除挂掉的服务
• 注意 Session 共享

做大并发网站，负载均衡是必备的。

Nginx 日志分析技巧

Nginx 日志是排查问题的重要工具，学会分析日志很重要。

1. 日志位置

默认日志路径：

# 访问日志
/var/log/nginx/access.log

# 错误日志
/var/log/nginx/error.log

2. 日志格式

默认日志格式：

log_format access '$remote_addr - $remote_user [$time_local] "$request" '
                    '$status $body_bytes_sent "$http_referer" '
                    '"$http_user_agent"';

3. 常用分析命令

1）查看访问量最多的IP：

awk '{print $1}' access.log | sort | uniq -c | sort -nr | head 10

2）查看访问最多的页面：

awk '{print $7}' access.log | sort | uniq -c | sort -nr | head 10

3）查看状态码分布：

awk '{print $9}' access.log | sort | uniq -c | sort -nr

4）查看404错误：

awk '$9 == 404 {print $7}' access.log | sort | uniq -c | sort -nr

4. 排查常用

1）查看哪个IP访问频繁：

grep "127.0.0.1" access.log

2）查看某个时间段日志：

grep "08/Oct/2026:07" access.log

3）查看错误日志：

tail -f error.log

5. 日志切割

用 logrotate 自动切割：

# /etc/logrotate.d/nginx
/var/log/nginx/*.log {
    daily
    missingok
    rotate 30
    compress
    notifempty
    create 0640 nginx adm
    postrotate
        systemctl reload nginx
    endscript
}

6. 常用场景

• 被攻击了：查访问量最多的IP
• 页面报错：查404/500
• 流量突增：查访问最多的页面
• 爬虫多：查 User-Agent

总结

Nginx 日志分析要点：

• 访问日志查访问情况
• 错误日志排查问题
• awk 统计数据
• 日志自动切割
• 定期分析日志

做运维，看日志是基本功。