为省 10 分钟，我把 Nginx 配置交给 AI，结果差点搞垮生产环境

第一步：输入需求
  → 业务场景（反向代理/负载均衡/安全加固）
  → 性能要求（并发量、响应时间）
  → 安全策略（SSL 版本、敏感路径防护）

第二步：AI 解析 + 配置生成
  → 需求解析 → 配置模板匹配 → 参数填充优化 → 安全检查
  ↓
第三步：输出结果
  → Nginx 配置文件 + 配置说明文档
  → 优化建议 + 安全检查报告
  ↓
第四步：人工审核后上线
  → nginx -t 语法检查 → 配置 diff 比对 → 灰度上线

请生成一份 Nginx 反向代理配置：
- 前端：Vue3 SPA，部署在 /var/www/html
- 后端 API：Spring Boot 服务，运行在 127.0.0.1:8080
- 要求：/api/* 路径代理到后端，其余走前端静态文件
- 性能：启用 gzip、缓存静态资源、WebSocket 支持
- 安全：隐藏 Nginx 版本号、禁止访问 .git 等敏感路径

# Nginx 反向代理配置 - AI 生成
# 生成时间: 2026-07-01
# 业务: Vue3 SPA + Spring Boot API

# 全局安全配置
server_tokens off;  # 隐藏版本号

server {
    listen 80;
    server_name example.com;

    # ---- 安全规则 ----
    # 禁止访问敏感路径
    location ~ /\. {
        deny all;
        return 404;
    }
    location ~* \.(git|svn|env|htaccess)$ {
        deny all;
        return 404;
    }

    # ---- API 反向代理 ----
    location /api/ {
        proxy_pass http://127.0.0.1:8080;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;

        # WebSocket 支持
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";

        # 超时配置
        proxy_connect_timeout 10s;
        proxy_read_timeout 60s;
        proxy_send_timeout 30s;
    }

    # ---- 前端静态资源 ----
    location / {
        root /var/www/html;
        index index.html;
        try_files $uri $uri/ /index.html;  # SPA 路由支持

        # 静态资源缓存
        location ~* \.(js|css|png|jpg|jpeg|gif|ico|svg|woff2?)$ {
            expires 30d;
            add_header Cache-Control "public, immutable";
        }

        # HTML 文件不缓存（确保更新生效）
        location ~* \.html$ {
            expires -1;
            add_header Cache-Control "no-cache, no-store, must-revalidate";
        }
    }

    # ---- Gzip 压缩 ----
    gzip on;
    gzip_min_length 1024;
    gzip_comp_level 6;
    gzip_types
        text/plain
        text/css
        text/javascript
        application/javascript
        application/json
        application/xml
        image/svg+xml;

    # ---- 日志 ----
    access_log /var/log/nginx/example.com.access.log;
    error_log /var/log/nginx/example.com.error.log;
}

# 负载均衡配置 - AI 生成
upstream backend_api {
    # 负载均衡策略：加权轮询
    server 10.0.0.1:8080 weight=3;
    server 10.0.0.2:8080 weight=3;
    server 10.0.0.3:8080 weight=2;  # 配置较低，权重小

    # 健康检查
    # 注意：开源版 Nginx 不支持主动健康检查
    # 需要 nginx_upstream_check_module 或商业版

    # 保持长连接，减少 TCP 握手开销
    keepalive 32;
    keepalive_timeout 60s;
}

server {
    listen 80;
    server_name api.example.com;

    location / {
        proxy_pass http://backend_api;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

        # 连接复用
        proxy_http_version 1.1;
        proxy_set_header Connection "";

        # 失败重试
        proxy_next_upstream error timeout http_502 http_503;
        proxy_next_upstream_tries 3;
        proxy_next_upstream_timeout 5s;
    }
}

# 实时跟踪 error log
tail -f /var/log/nginx/api.example.com.error.log | grep -E "502|upstream|timeout"

2026/05/15 14:23:01 [error] 12345#0: *9876 upstream timed out (110: Connection timed out) 
  while connecting to upstream, client: 10.0.1.100, server: api.example.com, 
  upstream: "http://10.0.0.1:8080/api/order/create", host: "api.example.com"

2026/05/15 14:23:02 [error] 12345#0: *9877 no live upstreams while connecting to upstream, 
  client: 10.0.1.100, server: api.example.com, upstream: "http://backend_api"

2026/05/15 14:23:03 [warn] 12345#0: *9878 upstream server temporarily disabled while 
  connecting to upstream, client: 10.0.1.100, server: api.example.com

# 查看当前加载的 Nginx 配置
nginx -T 2>&1 | grep -A 20 "upstream backend_api"

upstream backend_api {
    server 10.0.0.1:8080 weight=3;
    server 10.0.0.2:8080 weight=3;
    server 10.0.0.3:8080 weight=2;

    keepalive 32;
    keepalive_timeout 60s;
}

nginx -T 2>&1 | grep "proxy_next_upstream"

proxy_next_upstream error timeout http_502 http_503;
proxy_next_upstream_tries 3;
proxy_next_upstream_timeout 5s;

问题 1: 超时设置不合理
  proxy_connect_timeout=10s
  后端响应慢时累积超时，订单创建涉及数据库写入+外部支付回调，
  偶发卡顿时响应超过 10s，触发超时。
  ↓
问题 2: 重试机制在级联超时中适得其反
  proxy_next_upstream_tries=3 配合默认的 max_fails=1，
  一次失败就把上游标记为不可用，导致后续请求直接返回 502。
  ↓
问题 3: 健康检查缺失
  开源版 Nginx 无主动健康检查。
  被标记为不可用的 upstream 只有在 fail_timeout（默认 10s）过后才恢复，
  但订单服务 10s 内不可能恢复，上游一直不可用。
  ↓
最终结果：502 错误率 32%，所有 upstream 全部不可用

# 修复后的 Nginx 配置 - 针对慢接口场景优化
upstream backend_api {
    # 增加 fail_timeout，避免瞬断被过度惩罚
    server 10.0.0.1:8080 weight=3 max_fails=3 fail_timeout=30s;
    server 10.0.0.2:8080 weight=3 max_fails=3 fail_timeout=30s;
    server 10.0.0.3:8080 weight=2 max_fails=3 fail_timeout=30s;

    keepalive 32;
    keepalive_timeout 60s;
}

server {
    listen 80;
    server_name api.example.com;

    location / {
        proxy_pass http://backend_api;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;

        # 修复 1：针对慢接口放宽超时
        proxy_connect_timeout 30s;     # 10s → 30s（慢接口场景）
        proxy_read_timeout 120s;       # 60s → 120s（订单写入慢）
        proxy_send_timeout 60s;        # 30s → 60s

        # 修复 2：减少重试次数，避免级联风暴
        proxy_next_upstream error http_502 http_503;
        proxy_next_upstream_tries 2;   # 3 → 2
        proxy_next_upstream_timeout 10s;

        # 修复 3：用第三方模块做主动健康检查
        # nginx_upstream_check_module 配置
        check interval=5000 rise=2 fall=5 timeout=3000 type=http;
        check_http_send "GET /health HTTP/1.0\r\n\r\n";
        check_http_expect_alive http_2xx http_3xx;
    }
}

# 验证配置后测试
for i in {1..100}; do
    curl -s -o /dev/null -w "%{http_code}\n" \
      http://api.example.com/api/order/create
done | sort | uniq -c

 98 200   # 优化后：98% 成功
  2 502   # 优化前：32% 失败

# 修复前后对比
修复前: 502 错误率 32% | P99 延迟 8s | upstream 频繁挂起
修复后: 502 错误率 2%  | P99 延迟 450ms | upstream 稳定

# Nginx 性能优化配置 - AI 生成
user nginx;
worker_processes auto;
worker_rlimit_nofile 65535;

events {
    worker_connections 4096;
    use epoll;
    multi_accept on;
}

http {
    sendfile on;
    tcp_nopush on;
    tcp_nodelay on;

    # 连接复用
    keepalive_timeout 65;
    keepalive_requests 1000;

    # 缓冲区优化
    client_body_buffer_size 128k;
    client_max_body_size 50m;

    # 输出缓冲
    output_buffers 1 256k;
    postpone_output 1460;

    # 文件缓存
    open_file_cache max=2000 inactive=20s;
    open_file_cache_valid 60s;
    open_file_cache_min_uses 2;
    open_file_cache_errors off;
}

AI 生成 Nginx 配置
  ├── 有 SSL/TLS 配置？→ 检查证书路径 + 协议版本
  │       └── 弱协议（SSLv3/TLSv1.0）？→ 仅保留 TLSv1.2+
  │       └── 已安全 → 配置通过 ✅
  ├── 反向代理？→ 检查 upstream 超时 + 重试
  │       └── 无重试配置？→ 添加 proxy_next_upstream
  │       └── 已配置 → 配置通过 ✅
  └── 暴露版本号？→ 添加 server_tokens off
      └── 已隐藏 → 配置通过 ✅

# Nginx 安全加固 - AI 生成

# 1. 隐藏版本号
server_tokens off;

# 2. 安全响应头
add_header X-Frame-Options "SAMEORIGIN" always;
add_header X-Content-Type-Options "nosniff" always;
add_header X-XSS-Protection "1; mode=block" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;

# 3. 禁止敏感路径
location ~ /\.(git|svn|hg|bzr) {
    deny all;
    return 404;
}

# 4. 限制请求方法
if ($request_method !~ ^(GET|HEAD|POST|PUT|DELETE|OPTIONS)$ ) {
    return 405;
}

# 5. 限制大请求
client_max_body_size 50m;
client_body_buffer_size 128k;
client_header_buffer_size 1k;
large_client_header_buffers 4 8k;

# 6. 超时防护
client_body_timeout 12s;
client_header_timeout 12s;
send_timeout 10s;

# 7. 简单限流
limit_req_zone $binary_remote_addr zone=api:10m rate=30r/s;
limit_req zone=api burst=50 nodelay;

# Grafana 告警规则 - Nginx AI 配置监控
groups:
-name:nginx_ai_config_alerts
rules:
-alert:NginxHigh502Rate
expr:rate(nginx_http_502_count[5m])>0.5
for:2m
labels:
severity:P0
annotations:
summary:"Nginx 502 错误率过高"
description:"5 分钟内 502 错误数超过 0.5 次/秒，"
"可能是 AI 生成的 upstream 配置异常，请立即检查"

-alert:NginxUpstreamDown
expr:nginx_upstream_down_total>0
for:30s
labels:
severity:P0
annotations:
summary:"Nginx upstream 不可用"
description:"所有 upstream 服务器被标记为不可用，"
"可能是 AI 配置的 max_fails/fail_timeout 不合理"

-alert:NginxHighLatency
expr:histogram_quantile(0.99,
rate(nginx_upstream_response_seconds_bucket[5m]))>1
for:5m
labels:
severity:P1
annotations:
summary:"Nginx upstream 响应延迟异常"
description:"P99 延迟 > 1s，检查 AI 配置的 timeout 参数是否合理"

# 测试配置语法
nginx -t -c /etc/nginx/nginx.conf

# 预览差异后再 reload
diff /etc/nginx/nginx.conf /etc/nginx/nginx.conf.bak
nginx -s reload

#!/bin/bash
# =====================================================
# nginx_health_check.sh - Nginx 配置健康检查
# 功能：语法检查 + 配置 diff + 关键指标上报
# 部署：配合 crontab 每日执行 + systemd 分钟级巡检
# =====================================================

# 配置检查
nginx -t 2>&1 | grep -q "successful"
if [ $? -ne 0 ]; then
echo"[ERROR] Nginx 配置语法错误！"
    nginx -t 2>&1 | mail -s "Nginx 配置错误" ops@example.com
exit 1
fi

# 关键配置变更追踪
CONFIG_DIR="/etc/nginx"
BACKUP_DIR="/var/backup/nginx_config"
mkdir -p $BACKUP_DIR

diff <(find $CONFIG_DIR -name "*.conf" -execcat {} \;) \
     <(cat$BACKUP_DIR/config_baseline.txt) > /dev/null
if [ $? -ne 0 ]; then
echo"[WARN] Nginx 配置发生变化，请检查 diff"
fi

# 检查 502 错误率（取最近 5 分钟）
ERROR_COUNT=$(grep "502" /var/log/nginx/access.log \
    | awk -v date="$(date -d '5 min ago' '+%d/%b/%Y:%H:%M')" \
'$4 > "["date' | wc -l)
if [ $ERROR_COUNT -gt 50 ]; then
echo"[ALERT] 5 分钟内 502 错误 $ERROR_COUNT 次，超过阈值 50！"
fi

# Crontab 配置 - 每日检查
0 6 * * * /opt/scripts/nginx_health_check.sh  # 每天 6 点检查配置
*/5 * * * * /opt/scripts/nginx_monitor.sh      # 每 5 分钟监控指标