为什么要用nginx代理服务器，nginx反向代理作用是什么？

代理层究竟替你挡了什么

很多人第一次听到“代理”，脑子里冒出来的是多此一举——客户端直连后端不好吗，中间插一脚图什么，真到线上出问题时，答案就清楚了。

反向代理不是“转发一下”这么简单

它干的是四件互相关联的活：接收外部请求、决定往哪台后端送、在送出去之前做一次清洗和记录、把结果回给客户端，这四步里有大量的公共逻辑，和具体业务毫无关系，写在后端代码里，等于每上一个服务就重写一遍，还容易写错。

没有代理层，你会遇到的三个麻烦

• 证书和域名绑在后端进程上,续期要重启服务，多语言栈各搞一套，运维根本管不过来。
• 后端扩容要改上游调用方,IP 一变全线报错，日志里全是连接超时。
• 突发流量直接打到应用进程,进程一崩，连一个限流和排队的地方都没有。

把这三件事挪到 Nginx 上，配置就几行，出问题改配置 reload 即可，业务进程完全无感，行业里公开压测资料显示，Nginx 在常规 4 核 8G 配置下处理静态请求和简单转发，能跑到万级 QPS 量级，内存占用稳定在百兆级，这个性价比，自己写一个网关很难追上。

Nginx 代理最常见的六种用法

统一入口与动静分离

前端页面、图片、字体走 Nginx 本地目录，接口请求走 proxy_pass 到后端，用户只看到一台服务器、一个域名，后面怎么拆都随意，省下的带宽和数据库连接，是实打实的。

负载均衡与健康检查

upstream 里挂多台后端，weight 调权重，max_fails 配失败次数，backup 留一台兜底，某台后端挂了，Nginx 会按 fail_timeout 暂时摘掉它，请求自动转移，用户几乎无感。

HTTPS 终结与证书集中托管

证书只在 Nginx 这一层放一份，后端全部走内网 HTTP，省掉每个服务单独配 TLS 的麻烦，也方便统一加固加密套件和协议版本。

限流、缓存与安全边界

limit_req_zone 和 limit_conn_zone 能在入口处挡住异常高频的请求，proxy_cache 能把变化不频繁的接口结果缓存住，这一层还适合做请求头校验、隐藏后端真实 IP、屏蔽异常路径扫描。

灰度发布与多版本共存

按 Cookie、请求头或 IP 段切分流量，把新版本只放给一小撮人，出问题改一行配置就切回全量老版本，比回滚代码快得多。

跨域与内网服务暴露

多个内部微服务对外统一一个域名,用 location 前缀分发，跨域响应头在 Nginx 上加一次，前端省掉一堆代理配置。

一份能跑起来的配置：十分钟搭出反向代理

最简 upstream 与 server 段落

把下面这段写进 /etc/nginx/conf.d/app.conf，替换掉域名和证书路径即可。

upstream app_pool {
    server 10.0.0.11:8080 weight=3 max_fails=2 fail_timeout=10s;
    server 10.0.0.12:8080 backup;
    keepalive 32;
}
server {
listen 443 ssl http2;
server_name www.example.com;
ssl_certificate     /etc/nginx/cert/fullchain.pem;
ssl_certificate_key /etc/nginx/cert/privkey.pem;
location /api/ {
    proxy_pass http://app_pool;
    proxy_http_version 1.1;
    proxy_set_header Connection "";
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_connect_timeout 3s;
    proxy_read_timeout 30s;
}
location ~* \.(js|css|png|jpg|woff2)$ {
    root /data/static;
    expires 7d;
}