每次新项目都要翻旧配置抄一遍，索性整理成模板，注释写在旁边，用时按需删减。

模板全文

upstream app {
    server 127.0.0.1:8080 max_fails=3 fail_timeout=10s;
    keepalive 32;                     # 与上游保持长连接
}

# 限流：按客户端 IP，10r/s，突发排队 20
limit_req_zone $binary_remote_addr zone=api:10m rate=10r/s;

proxy_cache_path /var/cache/nginx levels=1:2
                 keys_zone=static_cache:10m max_size=1g inactive=1h;

server {
    listen 80;
    server_name example.com;
    return 301 https://$host$request_uri;   # 全站跳 HTTPS
}

server {
    listen 443 ssl http2;
    server_name example.com;

    ssl_certificate     /etc/nginx/certs/fullchain.pem;
    ssl_certificate_key /etc/nginx/certs/privkey.pem;

    # 基础安全响应头
    add_header X-Content-Type-Options nosniff always;
    add_header X-Frame-Options SAMEORIGIN always;
    add_header Referrer-Policy strict-origin-when-cross-origin always;

    client_max_body_size 20m;
    gzip on;
    gzip_types text/css application/javascript application/json;

    # 动态接口：反代 + 限流
    location /api/ {
        limit_req zone=api burst=20 nodelay;
        proxy_pass http://app;
        proxy_set_header Host              $host;
        proxy_set_header X-Real-IP         $remote_addr;
        proxy_set_header X-Forwarded-For   $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_connect_timeout 3s;
        proxy_read_timeout    30s;
    }

    # WebSocket：升级头
    location /ws/ {
        proxy_pass http://app;
        proxy_http_version 1.1;
        proxy_set_header Upgrade    $http_upgrade;
        proxy_set_header Connection "upgrade";
        proxy_read_timeout 300s;          # 长连接别用默认 60s
    }

    # 静态资源：缓存 + 浏览器侧长缓存
    location /assets/ {
        proxy_pass http://app;
        proxy_cache static_cache;
        proxy_cache_valid 200 1h;
        add_header Cache-Control "public, max-age=2592000, immutable";
    }
}

三个容易忘的点

  • $binary_remote_addr 而不是 $remote_addr：前者是二进制 IPv4（4 字节），10m 的 zone 能记下十几万 IP；用字符串版内存直接翻几倍；
  • proxy_read_timeout 默认 60s：SSE、长轮询、WebSocket 场景必改，否则连接每分钟被掐一次，前端表现为诡异的周期性断线；
  • 改完记得 nginx -t 再 reload：nginx -s reload 不会帮你检查语法，配错了直接整站下线，血的教训。

限流参数别拍脑袋：先看监控里正常峰值的 QPS，阈值放到峰值的 2-3 倍，让限流兜底异常流量而不是误伤大促。