Nginx + Tomcat 反向代理完全指南

Nginx + Tomcat 反向代理完全指南 | 极客日志

特性	正向代理	反向代理
服务对象	客户端	服务器
透明性	服务器知道是代理	客户端不知道
典型用途	科学上网、加速	负载均衡、缓存
生活类比	帮朋友买东西	银行大堂经理

名词	含义	生活例子	为什么？
反向代理	代理服务器替「后端服务器」接客，客户端以为在访问目标站	银行大堂经理：客户只跟经理打交道，经理再把业务分给后台柜员	为什么用反向？可隐藏后端、做负载均衡、SSL 终结、缓存，客户端无需改配置
upstream	定义一组后端服务器，供 proxy_pass 引用	后厨名单：经理按名单把单子分给不同厨师	为什么单独定义？可集中写 server、weight、backup、负载算法，多处 location 可复用同一组
proxy_pass	把当前请求转发到指定上游或 URL	经理把单子交给某位厨师或某窗口	为什么有时带 URI 有时不带？带 URI 时会把 location 匹配部分替换成该 URI；不带则把完整请求 URI 转给后端
proxy_set_header	设置转发给后端时的请求头	经理在单子上注明「客人来自哪桌、原桌号」	为什么必须设 X-Real-IP、Host？后端要拿到真实客户端 IP 和原始域名做日志、限流、跨域；否则看到的是 Nginx 的 IP
X-Forwarded-For	记录客户端及途经代理的 IP 链	快递单上的「经手站点」列表	为什么用 $proxy_add_x_forwarded_for？会追加当前客户端 IP，多级代理时后端能还原真实来源

名词	含义	生活例子	为什么？
weight	上游服务器的权重，轮询时分配比例	熟练工多派单、新手少派单	为什么默认 1？权重越高分到的请求越多，用于机器性能不一致时
backup	标记为备份节点，仅当主节点不可用时使用	替补队员，主力都挂了才上	为什么需要？主节点故障时自动切到 backup，避免全挂
max_fails / fail_timeout	连续失败几次视为不可用；不可用持续时间	连续几次叫不应就暂时不派单、过一段时间再试	为什么设？避免把请求一直打到已挂的后端，又能在恢复后自动加回
proxy_connect_timeout	与后端建立连接的超时	叫厨师应答的最长等待时间	为什么不能太长？后端卡住时尽快失败，释放 Nginx 连接
proxy_read_timeout	读后端响应的超时	等菜的最长等待时间	为什么动态请求要设大？某些接口耗时长，太小会 504；静态或 API 可设小

名词	含义	生活例子	为什么？
Connector	Tomcat 对外接收请求的组件，每种协议一个	餐厅的「正门」（HTTP）和「员工通道」（AJP）	为什么分 HTTP 和 AJP？HTTP 通用，浏览器、Nginx 都能连；AJP 二进制、效率高，多用于与 Apache/Nginx 同机或内网
Engine	请求处理引擎，下挂多个 Host	后厨总管，管多个档口	为什么 defaultHost？请求的 Host 头匹配不到时，落到默认虚拟主机
Host	虚拟主机，按域名区分应用	同一餐厅的不同包厢区	为什么有 appBase？每个 Host 有自己的部署目录（如 webapps），互不干扰
Context	一个 Web 应用，对应一个 URL 路径	某道菜的制作流程	为什么 path=""可做默认应用？空 path 表示根路径，访问 / 直接进该应用
AJP	Apache JServ Protocol，二进制协议，多用于 Web 服务器与 Tomcat 之间	后厨内部传菜用的简写单，比对外菜单更省	为什么 Nginx 常用 HTTP 连 Tomcat？Nginx 官方模块只支持 HTTP 代理；AJP 需第三方模块，且 AJP 有安全风险需谨慎配置

对比项	A	B	区别一句话	何时用 A / 何时用 B
正向代理 vs 反向代理	客户端通过代理访问外网	客户端访问代理，代理转给后端	谁「用」代理：客户用 vs 服务器用	翻墙、加速用正向；隐藏后端、负载均衡用反向
proxy_pass 带 URI vs 不带	proxy_pass http://backend/;	proxy_pass http://backend;	带尾斜杠会替换 location 匹配部分	要改路径时带 URI（如 /api/ → 后端 /）；原样转发不带
轮询 vs ip_hash vs least_conn	依次派单	同一 IP 固定后端	按连接数最少派单	无状态用轮询；要会话保持用 ip_hash；长连接、耗时不一用 least_conn
Nginx 处理静态 vs Tomcat 处理动态	Nginx 直接读文件或缓存	转发到 Tomcat 执行 Java	谁干活：Nginx 自己干 vs 交给后端	静态用 Nginx 减轻 Tomcat；动态必须 Tomcat（或其它应用服务器）
HTTP Connector vs AJP Connector	标准 HTTP，端口如 8080	二进制 AJP，端口如 8009	协议与端口不同	对外、Nginx 代理多用 HTTP；历史 Apache+Tomcat 同机常用 AJP

项目/产品	说明	对应机构
Nginx 开源版	免费、BSD 协议，社区维护，nginx.org 发布	由 F5, Inc. 下属团队主导开发（Nginx 项目源于俄罗斯开发者 Igor Sysoev，2004 年发布；2011 年成立 Nginx Inc. 提供商业支持；2019 年 Nginx Inc. 被 F5 Networks 收购，现为 F5 旗下产品线）
NGINX Plus	商业版，带负载均衡健康检查、会话保持、监控、技术支持等	F5, Inc.（原 Nginx Inc.）
OpenResty	基于 Nginx 的 Lua 扩展平台，开源	OpenResty Inc.（非 F5，独立项目）

特性	Nginx	Apache
架构模型	事件驱动	进程/线程
并发性能	⭐⭐⭐⭐⭐	⭐⭐⭐
内存使用	⭐⭐⭐⭐⭐ 低	⭐⭐ 中等
静态文件	⭐⭐⭐⭐⭐ 快	⭐⭐⭐ 中等
动态处理	⭐⭐⭐ 需要配置	⭐⭐⭐⭐⭐ 强大
配置复杂度	⭐⭐ 简单	⭐⭐⭐⭐ 复杂
生活类比	专业的服务员	瑞士全能服务员

方式	说明	适用场景
官方包仓库	nginx.org/packages 提供各发行版的 repo，安装得到官方构建的稳定版	推荐：版本清晰、便于升级与维护
发行版自带	`yum install nginx` / `apt install nginx` 用系统源，版本可能较旧	不追求最新时可选用
源码编译	nginx.org 下载源码，`./configure && make && make install`	需要特定模块（如 stub_status、自定义模块）或指定安装路径时

# 1. 安装 yum-utils（用于管理 repo）
sudo yum install -y yum-utils
# 2. 添加 Nginx 官方 repo（以 mainline 为例，稳定版可用 nginx-stable）
sudo yum install -y https://nginx.org/packages/centos/$(rpm -E %rhel)/noarch/RPMS/nginx-release-centos-$(rpm -E %rhel)-0.el$(rpm -E %rhel).ngx.noarch.rpm
# 若上述 URL 不可用，可手动创建 /etc/yum.repos.d/nginx.repo，内容见 nginx.org/en/linux_packages.html
# 3. 安装 Nginx
sudo yum install -y nginx
# 4. 查看版本与安装路径
nginx -v
rpm -ql nginx | head -5

# 1. 安装依赖
sudo apt update
sudo apt install -y curl gnupg2 ca-certificates lsb-release debian-archive-keyring
# 2. 导入 Nginx 官方签名密钥并添加 repo（以 Ubuntu 24.04 为例，其他版本见 nginx.org/en/linux_packages.html）
curl -fsSL https://nginx.org/keys/nginx_signing.key | sudo gpg --dearmor -o /usr/share/keyrings/nginx-archive-keyring.gpg
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] https://nginx.org/packages/ubuntu $(lsb_release -cs) nginx" | sudo tee /etc/apt/sources.list.d/nginx.list
# 3. 安装 Nginx
sudo apt update
sudo apt install -y nginx
# 4. 查看版本
nginx -v

# 下载并解压（以 1.26.x 为例，请替换为官网最新稳定版）
wget https://nginx.org/download/nginx-1.26.2.tar.gz
tar -zxf nginx-1.26.2.tar.gz
cd nginx-1.26.2
# 常用选项：--with-http_stub_status_module 用于状态页，--prefix 指定安装目录
./configure --prefix=/usr/local/nginx --with-http_stub_status_module --with-http_ssl_module
make
sudo make install
# 可执行文件在 /usr/local/nginx/sbin/nginx

操作	命令（systemd）	说明	为什么？
启动	`sudo systemctl start nginx`	启动 Nginx 服务	安装后首次需 start；或 `sudo /usr/sbin/nginx`（视安装路径）
停止	`sudo systemctl stop nginx`	停止服务	维护或排错时使用；会断开当前连接
重载配置	`sudo systemctl reload nginx` 或 `sudo nginx -s reload`	不中断服务，加载新配置	为什么用 reload？不杀进程，只让 worker 重新读配置，请求不中断，生产推荐
重启	`sudo systemctl restart nginx`	先停再起	为什么少用？会短暂断连；仅在 reload 无效或升级二进制时用
查看状态	`sudo systemctl status nginx`	是否在跑、最近日志	排错第一步看是否 active (running)
开机自启	`sudo systemctl enable nginx`	设为开机自动启动	为什么开？机器重启后 Nginx 自动起来，无需人工

# 常用命令汇总
sudo systemctl start nginx # 启动
sudo systemctl stop nginx # 停止
sudo systemctl reload nginx # 重载配置（推荐）
sudo systemctl restart nginx # 重启
sudo systemctl status nginx # 状态
sudo systemctl enable nginx # 开机自启
# 若为源码安装且未做 systemd 服务，可直接调用二进制 /usr/local/nginx/sbin/nginx
# 启动
/usr/local/nginx/sbin/nginx
# 停止
/usr/local/nginx/sbin/nginx -s stop
# 重载
/usr/local/nginx/sbin/nginx -s reload
# 仅测试配置文件语法，不启动
/usr/local/nginx/sbin/nginx -t

# 1. 版本
nginx -v
# 或 nginx -V 查看编译参数与模块
# 2. 配置文件语法（改配置后先执行，再 reload）
sudo nginx -t
# 3. 进程与端口
ps aux | grep nginx
ss -tlnp | grep :80
# 或 netstat -tlnp | grep :80
# 4. 本机访问测试（若已监听 80）
curl -I http://127.0.0.1/

项目	常见路径（以包安装为例，不同发行版可能略有差异）
主配置	`/etc/nginx/nginx.conf`
子配置目录	`/etc/nginx/conf.d/`
二进制	`/usr/sbin/nginx`
默认站点根目录	`/usr/share/nginx/html` 或 `/var/www/html`
日志	`/var/log/nginx/access.log`、`/var/log/nginx/error.log`

分支	版本号规律	说明	适用场景
mainline	奇数次小版本（如 1.27.x、1.29.x）	当前开发主线，新特性、新修复先上，更新较频繁	需要新功能或愿意跟进最新修复时；生产若追求「求稳」可谨慎选用
stable	偶数次小版本（如 1.26.x、1.28.x）	以稳定为主，只收经过验证的修复与安全补丁，新特性滞后	生产环境推荐：变更少、可预期，便于规划升级

现象	可能原因	处理思路	为什么？
bind() to 0.0.0.0:80 failed (13: Permission denied)	① 未用 root 启动；② SELinux 禁止监听 80	① 用 `systemctl start nginx` 或 `sudo nginx`，保证以 root 启动（Nginx 会再切到 worker 用户）；② 见下 SELinux	为什么 13？端口 <1024 在 Linux 上默认需 root 绑定；SELinux 可进一步限制即使 root 也不能用某端口
SELinux 导致 80 无法绑定	httpd_t 域未允许使用 80 端口	`semanage port -l	grep http_port_t`看是否含 80；若无则`semanage port -a -t http_port_t -p tcp 80`；或临时` setenforce 0` 测试（仅排错，不推荐长期关）
Address already in use / 80 端口被占用	本机已有程序监听 80（如 Apache、其他 Nginx）	`ss -tlnp	grep :80`或`lsof -i :80`看占用进程；关掉冲突服务或改 Nginx 的`listen` 端口
nginx -t 报错 unknown directive / 模块不存在	当前安装未编译该模块（如 stub_status）	用 `nginx -V` 看编译参数；包安装一般无 stub_status 时可换官方 repo 或源码编译加 `--with-http_stub_status_module`	为什么包没有？发行版或旧 repo 的 nginx 可能精简了模块，官方包或自编更全
reload 后不生效	配置有语法错误或 include 路径错误	每次改配置后先 `nginx -t`，通过再 `systemctl reload nginx`；看 `error.log` 是否有 'configuration file … test failed'	为什么 reload 不报错？reload 会尽量应用新配置，但有严重错误时可能只部分生效或静默失败，-t 能提前发现
403 Forbidden 访问静态页	文件权限或 SELinux 限制 Nginx 读文件	检查 `root`/`alias` 路径权限（至少对 Nginx 运行用户可读）；SELinux 下可 `chcon -R -t httpd_sys_content_t /path/to/web` 或关目录的 SELinux 限制	为什么 403？Nginx 能连上但被内核或文件系统拒绝读文件，多为权限或 SELinux 类型不对
yum/apt 安装时 404 或 repo 错误	发行版版本与 repo 不匹配、网络或 repo 未正确添加	对照 nginx.org/en/linux_packages.html 选对系统（CentOS 7/8/9、Ubuntu 版本等）；检查 `/etc/yum.repos.d/nginx.repo` 或 `/etc/apt/sources.list.d/nginx` 的 baseurl/URL	为什么 404？repo 的 URL 里通常带发行版代号，代号错则找不到包

# 查看 SELinux 状态
getenforce
# 查看是否因 SELinux 拒绝（查看最近审计日志）
grep nginx /var/log/audit/audit.log | audit2why
# 允许 httpd_t 使用 80 端口（需 policycoreutils-python-utils）
semanage port -l |grep http_port_t
semanage port -a -t http_port_t -p tcp 80
# 若为静态文件 403，给站点目录打标签
chcon -R -t httpd_sys_content_t /var/www/html

# /etc/nginx/nginx.conf
http {
    # 上游服务器定义
    # 上游服务器定义（为什么用 upstream？集中管理后端列表和负载策略，多个 location 可复用）
    upstream tomcat_servers {
        # 负载均衡：轮询；weight 相等即均分；backup 仅当主节点都不可用时才用
        server 192.168.1.20:8080 weight=1;
        server 192.168.1.21:8080 weight=1;
        server 192.168.1.22:8080 weight=1 backup;
        # 或者使用 ip_hash（会话保持）
        # ip_hash;
        # server 192.168.1.20:8080;
        # server 192.168.1.21:8080;
    }
    server {
        listen 80;
        server_name www.example.com;
        location / {
            # 反向代理到 Tomcat（为什么写 http://tomcat_servers？协议名 + upstream 名，不能写 IP 列表）
            proxy_pass http://tomcat_servers;
            # 传递真实 IP（为什么必须？Tomcat 日志、限流、风控需要真实客户端 IP，否则全是 Nginx 的 IP）
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            # 超时设置（为什么分三种？connect=建连，send=发请求，read=等响应；动态接口耗时长可把 read 调大）
            proxy_connect_timeout 60s;
            proxy_send_timeout 60s;
            proxy_read_timeout 60s;
        }
        # 静态资源缓存
        location ~* \.(jpg|jpeg|png|gif|ico|css|js)$ {
            root /var/www/static;
            expires 30d;
        }
    }
}

算法	指令	说明	生活类比
轮询	(默认)	依次分发	发牌员轮流发牌
least_conn	least_conn	最少连接优先	找最空闲的服务员
ip_hash	ip_hash	按 IP 分配	固定服务员服务固定客户
加权	weight=N	权重分配	经验丰富的服务员多派单

项目/产品	说明	对应机构
Apache Tomcat	开源 Java Servlet/JSP 容器，实现 Jakarta EE（原 Java EE）部分规范，Apache 2.0 协议	Apache Software Foundation (ASF)，无单一商业公司「拥有」；由 Apache 基金会下的 Tomcat 项目社区开发与发布
起源	最初为 Sun Microsystems 的 Servlet/JSP 参考实现，1999 年 Sun 将代码捐给 ASF，后成为顶级项目；Tomcat 10+ 实现 Jakarta EE，Tomcat 9 及以前实现 Java EE	历史上与 Sun（后为 Oracle 收购的 Java 业务）相关，现完全由 ASF 独立维护
商业支持	Tomcat 本身无官方商业版；企业如需商业支持可选用 Red Hat JBoss EAP、VMware Tanzu、Oracle WebLogic 等基于或兼容 Tomcat 技术的商业产品	各厂商（Red Hat、VMware、Oracle 等）提供付费支持，并非「Tomcat 公司」

组件	说明	生活类比	为什么？
Server	整个 Tomcat 容器	整个餐厅	为什么是顶层？一个 JVM 里只有一个 Server，关掉 Server 即关掉 Tomcat
Service	服务组件，包含 Connector + Engine	餐厅服务部门（迎宾 + 后厨）	为什么有 Service？可把多个 Connector 绑到同一 Engine，例如 HTTP 和 AJP 共用一套应用
Connector	连接器，接收请求并交给 Engine	餐厅入口大门	为什么分端口？8080 给 HTTP、8009 给 AJP，不同协议不同入口
Engine	引擎，按 Host 头选 Host 并处理请求	后厨管理	为什么有 defaultHost？请求的 Host 不匹配任何 Host 时，用 defaultHost 避免 404
Host	虚拟主机，对应域名，有 appBase	餐厅分区（包厢名）	为什么多个 Host？一机多站点时按域名区分，各用各的 webapps 目录
Context	应用上下文，一个 Web 应用	具体的餐桌/菜单	为什么 path=""？表示根应用，访问 / 即该应用，常用于单应用部署

连接器	协议	说明	为什么选？
HTTP	HTTP/1.1	标准 HTTP 连接，端口如 8080	为什么常用？Nginx、浏览器、压测工具都直接连；无需额外模块，配置简单
AJP	AJP/1.3	二进制协议，端口如 8009，多用于与 Apache 配合	为什么有 AJP？历史 Apache+Tomcat 同机时用 AJP 效率高；Nginx 需第三方模块才支持，且要配 secret 防未授权
HTTP/2	HTTP/2	HTTP/2 连接	为什么可选？多路复用、头部压缩，适合现代浏览器；需 TLS 或 h2c 配置

技术	和 Tomcat 的关系	典型用法
Java	Tomcat 本身用 Java 跑，应用也是 Java（Servlet/JSP）	装好 JDK、设 JAVA_HOME，应用打成 WAR 或目录放到 webapps
Servlet	Tomcat 是 Servlet 容器，请求由 Servlet 处理	写 Java 类实现 Servlet 接口，在 web.xml 或注解里配置 URL 映射
JSP	JSP 会被编译成 Servlet，由 Tomcat 的 Jasper 引擎执行	把 .jsp 文件放到 webapp 下，通过 URL 访问即可
Vue	Vue 打包后是静态 HTML/JS/CSS，可放 Tomcat 或 Nginx；接口调 Tomcat 提供的 Servlet/Spring 等	开发时 Vue devServer 代理到 Tomcat；生产可 Nginx 放静态 + 反向代理 /api 到 Tomcat

# Linux / macOS：在 /etc/profile 或 ~/.bashrc 中
export JAVA_HOME=/usr/lib/jvm/java-11-openjdk
export PATH=$JAVA_HOME/bin:$PATH
# 验证
java -version
echo $JAVA_HOME

# 创建 $CATALINA_HOME/bin/setenv.sh（无则新建）
# 示例：堆内存、GC、编码
export JAVA_OPTS="$JAVA_OPTS -Xms512m -Xmx1024m"
export JAVA_OPTS="$JAVA_OPTS -Dfile.encoding=UTF-8"
export JAVA_OPTS="$JAVA_OPTS -XX:+UseG1GC"

# 仅 start 时生效的堆与 GC
export CATALINA_OPTS="$CATALINA_OPTS -Xms512m -Xmx1024m -XX:+UseG1GC"

myapp/
├── WEB-INF/
│   ├── web.xml # 配置 Servlet、过滤器、欢迎页等
│   ├── classes/ # 你的 .class 或源码（若用 IDE 导出）
│   └── lib/ # 依赖 jar
├── index.html # 静态页面
└── hello.jsp # JSP 页面

<?xml version="1.0" encoding="UTF-8"?>
<web-app xmlns="http://xmlns.jcp.org/xml/ns/javaee"
         xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:schemaLocation="http://xmlns.jcp.org/xml/ns/javaee http://xmlns.jcp.org/xml/ns/javaee/web-app_4_0.xsd"
         version="4.0">
    <servlet>
        <servlet-name>HelloServlet</servlet-name>
        <servlet-class>com.example.HelloServlet</servlet-class>
    </servlet>
    <servlet-mapping>
        <servlet-name>HelloServlet</servlet-name>
        <url-pattern>/api/hello</url-pattern>
    </servlet-mapping>
    <welcome-file-list>
        <welcome-file>index.html</welcome-file>
    </welcome-file-list>
</web-app>

import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;

@WebServlet("/api/hello")
public class HelloServlet extends HttpServlet {
    @Override
    protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws IOException {
        resp.setContentType("text/plain;charset=UTF-8");
        resp.getWriter().write("Hello from Servlet");
    }
}

<Host name="localhost" appBase="webapps" unpackWARs="true" autoDeploy="true">
    <Context path="/myapp" docBase="/opt/myapp"/>
</Host>

<%@ page contentType="text/html;charset=UTF-8" language="java" %>
<html>
<head><title>JSP 示例</title></head>
<body>
<h1>当前时间：<%= new java.util.Date() %></h1>
<% String name = request.getParameter("name"); if (name != null) { out.println("<p>Hello, " + name + "</p>"); } %>
</body>
</html>

webapps/myapp/
├── index.html
├── assets/
│   ├── index-xxx.js
│   └── index-xxx.css
└── WEB-INF/
    └── ...（后端 Servlet、JSP 等）

module.exports = {
    publicPath: '/myapp/',
    devServer: {
        port: 8081,
        proxy: {
            '/myapp/api': {
                target: 'http://localhost:8080',
                changeOrigin: true
            }
        }
    }
}

server {
    listen 80;
    server_name www.example.com;
    root /var/www/vue-dist;
    index index.html;
    location / {
        try_files $uri $uri/ /index.html;
    }
    location /api/ {
        proxy_pass http://tomcat_cluster;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
    }
}

场景	建议
小项目、希望一个 Tomcat 同时提供页面和接口	Vue 打包到 Tomcat 应用目录，publicPath 与 context path 一致；接口用相对路径 `/myapp/api/...`
生产环境、前后端分离清晰	Nginx 托管 Vue 静态，`/api` 反向代理到 Tomcat；Vue 的 baseURL 用 `/api` 或完整域名
本地开发	Vue devServer proxy 到 `http://localhost:8080`，避免跨域

# /etc/nginx/conf.d/proxy_tomcat.conf
upstream tomcat_cluster {
    # 负载均衡配置
    server 192.168.1.20:8080 weight=1 max_fails=2 fail_timeout=30s;
    server 192.168.1.21:8080 weight=1 max_fails=2 fail_timeout=30s;
    server 192.168.1.22:8080 weight=1 max_fails=2 fail_timeout=30s;
    # 健康检查（需要商业版或 openresty）
    # check interval=3000 rise=2 fall=3 timeout=1000;
}
server {
    listen 80;
    server_name www.example.com;
    # 访问日志
    access_log /var/log/nginx/tomcat_access.log;
    error_log /var/log/nginx/tomcat_error.log;
    # 根路径代理到 Tomcat
    location / {
        proxy_pass http://tomcat_cluster;
        # 传递原始请求头
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        # WebSocket 支持
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
        # 超时配置
        proxy_connect_timeout 60s;
        proxy_send_timeout 60s;
        proxy_read_timeout 60s;
        # 缓冲配置
        proxy_buffering on;
        proxy_buffer_size 4k;
        proxy_buffers 8 4k;
        proxy_busy_buffers_size 8k;
    }
    # 静态资源直接由 Nginx 处理
    location ~* \.(jpg|jpeg|png|gif|ico|css|js|html|htm)$ {
        root /var/www/static;
        expires 30d;
        access_log off;
    }
}

<!-- /etc/tomcat/server.xml -->
<!-- 配置 AJP 连接器 -->
<Connector port="8009" protocol="AJP/1.3" redirectPort="8443" secret="your-secret" address="192.168.1.20"/>
<!-- 配置 HTTP 连接器 -->
<Connector port="8080" protocol="HTTP/1.1" connectionTimeout="20000" redirectPort="8443" address="192.168.1.20" maxThreads="500" minSpareThreads="50" enableLookups="false"/>
<!-- 配置 Engine -->
<Engine name="Catalina" defaultHost="localhost">
    <!-- 配置虚拟主机 -->
    <Host name="localhost" appBase="webapps" unpackWARs="true" autoDeploy="true">
        <!-- Context 配置 -->
        <Context path="" docBase="/opt/myapp"/>
    </Host>
</Engine>

upstream tomcat_cluster {
    ip_hash; # 会话保持
    server 192.168.1.20:8080;
    server 192.168.1.21:8080;
}

upstream tomcat_cluster {
    sticky cookie srv_id expires=1h domain=.example.com path=/;
    server 192.168.1.20:8080;
    server 192.168.1.21:8080;
}

<!-- 在 Tomcat 的 context.xml 中配置 -->
<Manager className="org.apache.catalina.ha.session.BackupManager" expireSessionsOnShutdown="false" notifyListenersOnReplication="true" mapSendOptions="6"/>
<Channel className="org.apache.catalina.tribes.group.GroupChannel">
    <Membership className="org.apache.catalina.tribes.membership.McastService" address="228.0.0.4" port="45564" frequency="500" dropTime="3000"/>
    <Receiver className="org.apache.catalina.tribes.transport.nio.NioReceiver" address="auto" port="4000" autoBind="100" selectorTimeout="5000" maxThreads="6"/>
    <Sender className="org.apache.catalina.tribes.transport.nio.NioSender" address="auto" port="4000" autoBind="true" connectTimeout="5000" maxWait="10000"/>
</Channel>
<Valve className="org.apache.catalina.ha.session.JvmRouteBinderValve"/>
<ClusterListener className="org.apache.catalina.ha.session.ClusterSessionListener"/>

方式	做法	优点	缺点	适用
会话保持	Nginx ip_hash 或 sticky，同一用户固定到一台 Tomcat	配置简单、无集群通信	该节点宕机则该用户 Session 丢失；扩容要 rehash	节点少、可接受单点 Session 丢失
Tomcat Session 复制	每台 Tomcat 加入同一 Cluster，Session 变更通过组播/TCP 同步到其他节点	无单点、任意节点可服务	占带宽和内存、节点多时复制量大；要开多播或端口	节点数不多（如 2～4）、内网稳定
外部 Session 存储	Session 存 Redis/Memcached，所有 Tomcat 读同一存储	扩容方便、Session 与进程解耦	依赖 Redis、序列化与网络延迟	多机水平扩展、已有 Redis 时

<Engine name="Catalina" defaultHost="localhost" jvmRoute="node1">

<Engine name="Catalina" defaultHost="localhost" jvmRoute="node1">
    <Cluster className="org.apache.catalina.ha.tcp.SimpleTcpCluster" channelSendOptions="8">
        <Manager className="org.apache.catalina.ha.session.DeltaManager" expireSessionsOnShutdown="false" notifyListenersOnReplication="true"/>
        <Channel className="org.apache.catalina.tribes.group.GroupChannel">
            <Membership className="org.apache.catalina.tribes.membership.McastService" address="228.0.0.4" port="45564" frequency="500" dropTime="3000"/>
            <Receiver className="org.apache.catalina.tribes.transport.nio.NioReceiver" address="auto" port="4000" autoBind="100" selectorTimeout="5000" maxThreads="6"/>
            <Sender className="org.apache.catalina.tribes.transport.nio.NioSender" address="auto" connectTimeout="5000" maxWait="10000"/>
        </Channel>
        <Valve className="org.apache.catalina.ha.tcp.ReplicationValve" filter=""/>
        <ClusterListener className="org.apache.catalina.ha.session.ClusterSessionListener"/>
    </Cluster>
    <Realm>...</Realm>
    <Host name="localhost" appBase="webapps"...> ... </Host>
</Engine>

<web-app...
<distributable/> ...
</web-app>

项目	说明
同一应用	每台 Tomcat 部署同一版本 WAR/目录，避免请求到不同节点时行为不一致。
jvmRoute 唯一	每台 `jvmRoute` 不同，且与 Nginx 的 upstream 对应（若用 sticky）。
多播/端口	多播不通时改用 TCP 成员；Receiver 端口不冲突（多实例同机时改不同 port）。
序列化	Session 中对象必须可序列化，避免大对象或不可序列化对象。
监控	观察集群视图（Tomcat Manager 或 JMX）、复制是否失败、网络与内存占用。

server {
    listen 80;
    server_name www.example.com;
    # 静态文件缓存配置（为什么 1y？图片/CSS/JS 带版本号时长期缓存安全，immutable 告诉浏览器不必再验）
    location ~* \.(jpg|jpeg|png|gif|ico|css|js|woff|woff2|ttf|eot|svg)$ {
        root /var/www/static;
        expires 1y;
        access_log off;
        add_header Cache-Control "public, immutable";
    }
    # HTML 文件缓存（为什么 7d？HTML 可能引用新资源，不宜过长；无版本号时适中即可）
    location ~* \.html$ {
        root /var/www/static;
        expires 7d;
        add_header Cache-Control "public";
    }
    # 禁止缓存（为什么 jsp/do no-cache？动态内容每次可能不同，缓存会导致看到旧数据或错乱）
    location ~* \.(php|jsp|do)$ {
        proxy_pass http://tomcat_cluster;
        add_header Cache-Control "no-cache, no-store, must-revalidate";
    }
}

# /etc/nginx/nginx.conf
user nginx;
worker_processes auto;
# 为什么 auto？一般等于 CPU 核数，充分利用多核
worker_rlimit_nofile 65535;
# 为什么设？每个连接占一个 fd，默认限制可能不够高并发
events {
    worker_connections 10240;
    # 为什么 10240？单 worker 最大连接数，总连接 ≈ worker_processes × worker_connections
    use epoll;
    # 为什么 epoll？Linux 下高效多路复用，高并发必备
    multi_accept on;
    # 为什么 on？一次 accept 多个新连接，减少唤醒次数
}
http {
    # 基础优化（为什么 sendfile？内核直接在内核态把文件写到 socket，少一次用户态拷贝，静态文件更快）
    sendfile on;
    tcp_nopush on;
    # 与 sendfile 搭配，攒包再发，减少小包
    tcp_nodelay on;
    # 关闭 Nagle，小响应及时发，为什么？动态内容往往小包，延迟敏感
    keepalive_timeout 65;
    types_hash_max_size 2048;
    client_max_body_size 50M;
    # 为什么限制？防止大 body 占满内存或磁盘，按业务上传需求设
    # Gzip 压缩（为什么开？文本类响应体积明显减小，带宽和延迟都改善；为什么 gzip_min_length？太小的包压缩反而变大）
    gzip on;
    gzip_vary on;
    gzip_min_length 1024;
    gzip_types text/plain text/css application/json application/javascript text/xml application/xml application/xml+rss text/javascript;
    # 隐藏版本号（为什么？减少暴露版本信息，降低被针对攻击的概率）
    server_tokens off;
}

<!-- /etc/tomcat/server.xml -->
<Connector port="8080" protocol="HTTP/1.1" maxThreads="500" minSpareThreads="50" maxSpareThreads="200" acceptCount="500" acceptorThreadCount="20" connectionTimeout="20000" enableLookups="false" compression="on" compressionMinSize="2048" noCompressionUserAgents="gozilla-trident" compressableMimeType="text/html,text/xml,text/plain,text/css,text/javascript,application/javascript,application/json" URIEncoding="UTF-8"/>
<!-- JVM 优化 -->
<!-- 在 catalina.sh 或 setenv.sh 中添加 -->
JAVA_OPTS="$JAVA_OPTS -Xms2048m -Xmx2048m -XX:PermSize=512m -XX:MaxPermSize=512m -XX:+UseConcMarkSweepGC -XX:+UseCMSClassLoader"

命令/配置	作用	为什么常用？
`systemctl status nginx`	看 Nginx 是否在跑	为什么先看？进程挂了则所有请求失败，排错第一步
`netstat -antp	grep :80	wc -l`
`tail -f .../tomcat_access.log`	实时看访问日志	为什么看日志？404、502、慢请求、IP 分布都在这里，排查问题必看
`stub_status on`	输出简单状态页（需编译 --with-http_stub_status_module）	为什么有用？可看到 active/reading/writing/waiting 连接数，监控大盘常用

# 1. 基础状态查看
systemctl status nginx
# 2. 连接数统计
netstat -antp | grep :80 | wc -l
# 3. 访问日志分析
tail -f /var/log/nginx/tomcat_access.log
# 4. Nginx 状态模块（需要编译时添加）
location /nginx_status {
    stub_status on;
    access_log off;
    allow 192.168.1.0/24;
    deny all;
}

# 1. 查看 Tomcat 状态
systemctl status tomcat
# 2. 查看 Tomcat 日志
tail -f /opt/tomcat/logs/catalina.out
# 3. Tomcat 管理界面
# 访问 http://ip:8080/manager

原因	排查方法	解决方案（配置示例）
后端 Tomcat 未启动或宕机	`curl -I http://后端 IP:8080/`、看 Tomcat 进程与日志	启动 Tomcat；在 upstream 中配多台 + `max_fails`/`fail_timeout`，避免把请求打到已挂节点
后端端口/防火墙不通	`telnet 后端 IP 8080`、本机 firewall/iptables	放行应用端口；确保 Nginx 能访问后端网段
连接被拒绝（connection refused）	Nginx error.log 有 'connect() failed (111: Connection refused)'	同上，并检查 Tomcat 的 Connector address 是否绑定到 0.0.0.0 或正确 IP
upstream 全部被摘除	所有 server 都因 max_fails 被标记 down	恢复至少一台后端；或临时调大 max_fails、缩短 fail_timeout，或使用 backup 节点

upstream tomcat_cluster {
    # 连续 2 次失败则 30s 内不再转发到该节点，避免持续 502
    server 192.168.1.20:8080 weight=1 max_fails=2 fail_timeout=30s;
    server 192.168.1.21:8080 weight=1 max_fails=2 fail_timeout=30s;
    server 192.168.1.22:8080 weight=1 max_fails=2 fail_timeout=30s backup;
    # 与后端保持长连接，减少建连开销（需 Nginx 1.1+）
    keepalive 32;
}
server {
    location / {
        proxy_pass http://tomcat_cluster;
        proxy_http_version 1.1;
        proxy_set_header Connection "";
        # 与 keepalive 配合
        proxy_connect_timeout 5s;
        # 建连快失败，不长时间挂住
        proxy_read_timeout 60s;
        # 按业务调整，避免后端慢导致长时间占连接
    }
}

# 对耗时较长的接口单独加大读超时（按业务区分 location）
location /api/ {
    proxy_pass http://tomcat_cluster;
    proxy_connect_timeout 5s;
    proxy_send_timeout 30s;
    proxy_read_timeout 120s;
    # 长任务接口可适当调大，如 120s 或 300s
}
# 普通页面保持较短超时，避免慢请求占满连接
location / {
    proxy_pass http://tomcat_cluster;
    proxy_read_timeout 30s;
}

# 在 http 或 server 或 location 中设置（单位 k/m/g）
client_max_body_size 50m;
# 仅上传接口放大
location /api/upload {
    client_max_body_size 100m;
    proxy_pass http://tomcat_cluster;
    proxy_request_buffering on;
    # 先收完再转给后端，避免后端超时（可选）
}

# nginx.conf 顶层
worker_processes auto;
worker_rlimit_nofile 65535;
# 每个 worker 能打开的 fd 上限，需 ≥ worker_connections
events {
    worker_connections 10240;
    # 单 worker 最大并发连接数
    use epoll;
    multi_accept on;
}

# 临时
ulimit -n 65535
# 持久（示例：systemd 服务）
# 在 /etc/systemd/system/nginx.service.d/override.conf 或 unit 里加：
# LimitNOFILE=65535

location / {
    proxy_pass http://tomcat_cluster;
    # 缓冲：先接后端数据再发给客户端，减轻后端「写慢」的影响
    proxy_buffering on;
    proxy_buffer_size 4k;
    # 响应头缓冲
    proxy_buffers 8 8k;
    # 响应体缓冲块数与大小
    proxy_busy_buffers_size 16k;
    # 正在往客户端发时占用的缓冲
    proxy_max_temp_file_size 256m;
    # 缓冲不够时写临时文件的上限
    # 若希望尽快把后端数据流式传给客户端（如大文件下载），可关缓冲
    # proxy_buffering off;
}

# 在 http 或 server 中定义 log_format
log_format main_with_upstream '$remote_addr - $remote_user [$time_local] '
                              '"$request" $status $body_bytes_sent '
                              '"$http_referer" "$http_user_agent" '
                              'upstream: $upstream_addr '
                              'rt=$request_time uct="$upstream_connect_time" '
                              'uht="$upstream_header_time" urt="$upstream_response_time"';
access_log /var/log/nginx/tomcat_access.log main_with_upstream;

# 在 http 中定义限流区
limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s;
# 每 IP 每秒 10 请求
limit_conn_zone $binary_remote_addr zone=addr:10m;
# 每 IP 并发连接数
server {
    location / {
        limit_req zone=one burst=20 nodelay;
        # 超过 rate 的请求可排队 burst 个，其余 503
        limit_conn addr 20;
        # 每 IP 最多 20 个并发连接
        proxy_pass http://tomcat_cluster;
    }
}

建议	说明	为什么？
动静分离	Nginx 处理静态，Tomcat 处理动态	为什么？静态走 Nginx 省 Tomcat 线程和 CPU，整体 QPS 更高
会话保持	根据应用选 ip_hash、sticky 或 Session 复制	为什么？有状态应用必须保证同一用户落到同一台或 Session 共享，否则登录态丢失
负载均衡	多台 Tomcat 分担压力	为什么？单机有上限，多机 + 负载均衡才能提高可用性和吞吐
缓存策略	静态设较长 expires，动态 no-cache	为什么？减少重复请求和后端压力；动态内容缓存会看到旧数据
日志轮转	logrotate 或 Nginx 的 access_log 按天/按大小切	为什么？单文件过大会影响写性能和排查，轮转后便于按日期查看和归档

# 隐藏后端服务器版本
proxy_hide_header X-Powered-By;
# 限制请求大小
client_max_body_size 20M;
# 限制请求方法
if ($request_method !~ ^(GET|HEAD|POST)$ ) {
    return 405;
}
# 限制访问
allow 192.168.1.0/24;
deny all;

组合	角色	典型用途	为什么这样配？
Nginx + Tomcat + MySQL	Nginx 代理与静态，Tomcat 跑 Java，MySQL 存业务数据	经典 Web 三层：展示→应用→数据	为什么加 MySQL？Tomcat 只负责计算，持久化交给数据库；Nginx 不直连 MySQL，安全与职责清晰
Nginx + Tomcat + Redis	Redis 做 Session 共享或页面/接口缓存	多机 Tomcat 时 Session 共享；热点数据缓存	为什么用 Redis？多台 Tomcat 无状态扩展时，Session 存 Redis 比 ip_hash 或 Tomcat 集群复制简单；缓存可减轻 DB 压力
Nginx + Tomcat + MySQL + Redis	上述两者结合	生产常见：静态→应用→缓存→数据库	为什么四件套？动静分离、应用水平扩展、缓存降 DB 负载、数据库做主存储，是通用 Web 架构
Nginx + Tomcat + 消息队列（RabbitMQ/Kafka）	请求进 Tomcat，耗时或解耦任务投递 MQ，异步消费	下单写库 + 发消息、日志/事件采集	为什么加 MQ？同步写库 + 发邮件/短信会拖慢响应；MQ 解耦、削峰，Tomcat 只负责发消息，消费者另起服务
Nginx + Tomcat + Keepalived/LVS	Nginx 或 LVS 前再加一层 VIP，做高可用	单 Nginx 故障时自动切到备机	为什么需要？Nginx 是单点，配合 Keepalived 双机或 LVS 多机，实现入口高可用
Nginx + Tomcat + ELK/日志中心	Nginx、Tomcat 日志统一采集到 Elasticsearch，Kibana 查询	统一日志、排查问题、审计	为什么集中日志？多机多实例时日志分散，集中后便于检索和监控告警
Nginx + Tomcat + Docker/K8s	容器化部署，Nginx 做 Ingress 或侧车，Tomcat 跑在 Pod 里	弹性伸缩、灰度、环境一致	为什么容器化？镜像一次构建多环境复用；K8s 可自动扩缩容、滚动发布，Nginx 或 Ingress 做流量入口

对比项	Nginx + Tomcat	Apache + Tomcat（mod_jk / mod_proxy_ajp）	Caddy + Tomcat	OpenResty + Tomcat
协议	HTTP 代理（proxy_pass）	AJP 或 HTTP（mod_jk 用 AJP，mod_proxy 可 HTTP/AJP）	HTTP 反向代理	HTTP 反向代理（可嵌 Lua）
静态能力	很强，事件驱动	中等，多进程/线程	较好，Go 实现	同 Nginx，且可 Lua 动态处理
配置方式	手写 conf，语法简洁	手写 conf，模块多	Caddyfile 自动 HTTPS	同 Nginx + Lua 脚本
AJP 支持	需第三方模块，一般不推荐	原生 mod_jk / mod_proxy_ajp	无	需第三方或自写 Lua
适用场景	通用反向代理 + 负载均衡，静态多	历史 Apache 栈、需 AJP 时	要自动 HTTPS、配置极简	要复杂逻辑、动态路由、WAF 等
生活类比	专业前台 + 多柜台	全能前台（也做静态）+ 多柜台	自动办卡的前台	会编程的前台，规则可自己写

对比项	Tomcat	Jetty	Undertow
定位	Servlet/JSP 容器，实现 Jakarta EE 部分规范	轻量嵌入式，常内嵌到应用	轻量、高性能，内嵌或独立
典型用法	独立部署，Nginx 反向代理多实例	打成 jar 内嵌 Jetty 启动；或独立	Spring Boot 默认内嵌之一；或独立
性能/资源	稳定、功能全，资源中等	轻量、启动快	高并发、低内存，性能指标好
适用	传统 Java Web 项目、多应用同机	微服务、嵌入式、云原生	高并发 API、微服务、与 Spring Boot 搭配

配置项	含义（官方）	用途 / 建议
user	运行 worker 进程的用户（及可选的组）	不用 root 跑 worker，安全；如 `nginx`
worker_processes	worker 进程数量	`auto` 一般等于 CPU 核数，充分利用多核
worker_rlimit_nofile	每个进程可打开的文件描述符上限	高并发时需足够大（如 65535），否则 'too many open files'
worker_connections	每个 worker 可同时处理的最大连接数	总并发约等于 worker_processes × worker_connections；按预期 QPS 与长连接估算
use	指定连接复用方法（如 epoll、kqueue）	Linux 下 `epoll`，高并发必备
multi_accept	是否一次 accept 多个新连接	`on` 可减少唤醒次数，建议开启

user nginx;
worker_processes auto;
worker_rlimit_nofile 65535;
events {
    worker_connections 10240;
    use epoll;
    multi_accept on;
}

配置项	含义（官方）	用途 / 建议
sendfile	是否使用内核 sendfile 直接在内核态把文件写到 socket	`on` 时静态文件少一次用户态拷贝，性能更好
tcp_nopush	与 sendfile 配合，在包填满或最后一块时再发	减少小包数量，适合大文件；与 tcp_nodelay 互斥语义（针对不同场景）
tcp_nodelay	是否禁用 Nagle（小包立即发）	动态、小响应时 `on`，降低延迟
keepalive_timeout	与客户端的 keep-alive 超时时间（秒）	长连接场景可适当加大（如 65）
types_hash_max_size	影响 MIME 类型哈希表大小	虚拟主机很多时可增大，避免 hash bucket size 告警
client_max_body_size	允许的客户端请求体最大大小（k/m/g）	上传场景必须设（如 50m），默认 1m 易触发 413
server_tokens	是否在响应头中输出 Nginx 版本	`off` 隐藏版本，减少信息暴露
listen	监听地址与端口	如 `80`、`443 ssl`、`[::]:80`
server_name	虚拟主机名，用于匹配 Host 头	域名或 `_` 默认
location	按 URI 匹配并应用一组指令	如 `location /`、
root / alias	请求对应到文件系统的路径	root 把 location 拼到路径后；alias 替换 location 部分
expires	响应头 Expires / Cache-Control 的缓存时间	如 `30d`、`1y`，静态资源加速
add_header	给响应添加自定义头	如 `Cache-Control`、`X-Frame-Options`
access_log	访问日志路径及可选 format	如 `access_log /var/log/nginx/access.log main;` 或 `off` 关闭
log_format	定义日志格式名称与格式串	可包含 `$upstream_addr`、`$request_time`、`$upstream_response_time` 等便于排错
stub_status	是否在该 location 输出简单状态页	需编译 `--with-http_stub_status_module`；用于监控 active/reading/writing/waiting 连接数
allow / deny	按 IP/网段允许或拒绝访问	如 `allow 192.168.1.0/24; deny all;` 限制管理或状态页访问

server {
    listen 80;
    server_name www.example.com;
    # 静态资源：路径用 root，缓存 30 天
    location /static/ {
        root /var/www;
        expires 30d;
        add_header Cache-Control "public, immutable";
    }
    # 状态页只允许内网访问
    location /nginx_status {
        stub_status on;
        access_log off;
        allow 192.168.1.0/24;
        deny all;
    }
    access_log /var/log/nginx/access.log;
}

配置项	含义（官方）	用途 / 建议
gzip	是否启用 gzip 压缩	`on` 减小文本类响应体积，节省带宽
gzip_vary	是否在响应中加 `Vary: Accept-Encoding`	`on` 便于正确缓存压缩/未压缩版本
gzip_min_length	仅当响应长度不小于该值（字节）时才压缩	太小的响应压缩后可能更大，一般 1024 或 2048
gzip_types	对哪些 MIME 类型做 gzip	默认仅 text/html；可加 text/css、application/json、application/javascript 等

gzip on;
gzip_vary on;
gzip_min_length 1024;
gzip_types text/plain text/css application/json application/javascript text/xml application/xml;

配置项	含义（官方）	用途 / 建议
upstreamname	定义一组后端服务器，供 proxy_pass 等引用	集中管理后端列表与负载策略
serveraddress [parameters
]	组内一台服务器的地址及参数	如 `ip:port`；可带 weight、backup、max_fails、fail_timeout
weight	该服务器的权重，默认 1	轮询时按权重分配，机器性能不一时可设不同值
backup	标记为备份服务器	仅当主服务器都不可用时才使用
max_fails	在 fail_timeout 内连续失败多少次则视为不可用	默认 1；一般 2～3，避免网络抖动误判
fail_timeout	判定失败的时间窗口，以及视为不可用的持续时间（秒）	该时间内连续 max_fails 次失败则摘除，过段时间再试
keepalive	与上游保持的空闲长连接数（每 worker）	需配合 proxy_http_version 1.1 与 proxy_set_header Connection ""；减少建连开销
ip_hash	按客户端 IP 哈希选服务器	会话保持；同一 IP 尽量到同一后端
least_conn	选当前活跃连接数最少的服务器	适合请求耗时差异大的场景

upstream tomcat_cluster {
    server 192.168.1.20:8080 weight=1 max_fails=2 fail_timeout=30s;
    server 192.168.1.21:8080 weight=1 max_fails=2 fail_timeout=30s;
    server 192.168.1.22:8080 backup;
    keepalive 32;
}

upstream tomcat_cluster {
    ip_hash;
    server 192.168.1.20:8080;
    server 192.168.1.21:8080;
}

配置项	含义（官方）	用途 / 建议
proxy_pass	将请求转发到指定 URI 或 upstream	如 `http://upstream_name` 或 `http://ip:port/path/`；尾有无斜杠影响 URI 是否被替换
proxy_set_header	设置转发给上游的请求头	常用 Host、X-Real-IP、X-Forwarded-For、X-Forwarded-Proto，后端需真实客户端信息时必设
proxy_connect_timeout	与上游建立连接的超时时间	不宜过长，建议 5～60s
proxy_send_timeout	向上游发送请求的超时时间	一般与 read 同量级或略小
proxy_read_timeout	从上游读取响应的超时时间	动态接口耗时长可设大（如 120s），静态可小
proxy_http_version	与上游通信使用的 HTTP 版本	使用 upstream keepalive 时须为 1.1（或 2）
proxy_set_header Connection ""	清空 Connection 头	与 proxy_http_version 1.1、upstream keepalive 配合
proxy_buffering	是否缓冲上游响应	`on` 时先收完再发给客户端，减轻上游占用；流式可 `off`
proxy_buffer_size	存放上游响应头的缓冲区大小	一般 4k～8k 即可
proxy_buffers	存放上游响应体的缓冲区数量与大小	如 `8 4k`、`8 8k`；大响应或高并发可适当加大
proxy_busy_buffers_size	正在向客户端发送时，可占用的缓冲总大小	默认约两倍 proxy_buffer_size；大响应时可增大
proxy_max_temp_file_size	缓冲不够时写临时文件的最大大小	大响应时避免占满内存，可设 256m 等
proxy_request_buffering	是否先缓冲客户端请求体再转给上游	`on` 时上游更稳定；大上传有时关掉以流式转发
proxy_hide_header	不把上游某响应头传给客户端	如隐藏 `X-Powered-By`
proxy_redirect	重写上游返回的 Location、Refresh 头中的 URL	上游是内网地址时，可改为对外域名，避免客户端直接请求后端

location / {
    proxy_pass http://tomcat_cluster;
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_http_version 1.1;
    proxy_set_header Connection "";
    proxy_connect_timeout 5s;
    proxy_send_timeout 30s;
    proxy_read_timeout 60s;
    proxy_buffering on;
    proxy_buffer_size 4k;
    proxy_buffers 8 8k;
    proxy_busy_buffers_size 16k;
    proxy_hide_header X-Powered-By;
}

# 请求 /api/user → 转给后端的是 /api/user（完整 URI）
location /api/ {
    proxy_pass http://backend;
}
# 请求 /api/user → 转给后端的是 /user（把 /api 换成了空）
location /api/ {
    proxy_pass http://backend/;
}

配置项	含义（官方）	用途 / 建议
limit_req_zone	定义限流用的共享内存区与速率（如按 IP）	如 `$binary_remote_addr zone=one:10m rate=10r/s`
limit_req	在 location 中应用该 zone，可选 burst、nodelay	burst 为突发排队数；nodelay 表示立即按 rate 处理排队
limit_conn_zone	定义按 key（如 IP）计连接数的 zone	与 limit_conn 配合
limit_conn	同一 key 允许的最大并发连接数	防单 IP 占满连接

# 在 http 里定义 zone（按 IP，10m 内存，每秒 10 个请求）
limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s;
limit_conn_zone $binary_remote_addr zone=addr:10m;
server {
    location / {
        limit_req zone=one burst=20 nodelay;
        limit_conn addr 20;
        proxy_pass http://tomcat_cluster;
    }
}

属性	含义（官方）	用途 / 建议
port	Connector 监听的 TCP 端口	如 8080（HTTP）、8443（HTTPS）
protocol	协议实现类	HTTP/1.1（默认，自动选 NIO/NIO2/APR）、AJP/1.3 等
connectionTimeout	接受连接后，等待请求 URI 行出现的时间（毫秒）	默认 20000；过小易在慢网络下断连
maxThreads	处理请求的最大线程数	同时处理的请求数上限；按压测与 CPU 调，如 500
minSpareThreads	始终保持的最小空闲线程数	避免突发时临时创建过多线程，如 50
maxSpareThreads	允许的最大空闲线程数	超过则回收；与 minSpareThreads 一起控制线程池形状
acceptCount	当达到 maxConnections 时，操作系统等待队列的最大长度	队列满后新连接可能被拒绝或超时；如 500
acceptorThreadCount	接受连接的线程数	高并发时可适当增加（如 2～4），默认 1
enableLookups	是否对 getRemoteHost() 做 DNS 反向解析	生产建议 `false`，避免 DNS 延迟
compression	是否对响应做 GZIP 压缩	`on` 节省带宽；也可设为最小字节数（如 2048）
compressionMinSize	响应体至少多少字节才压缩（字节）	太小压缩收益低甚至变大；默认 2048
compressableMimeType	对哪些 MIME 类型压缩	如 text/html,text/xml,text/plain,text/css,application/json
noCompressionUserAgents	不压缩的 User-Agent 正则	某些旧客户端实现有问题，可排除，如 `gozilla-trident`
URIEncoding	解码 URI 使用的字符集	与前端一致，常用 UTF-8
address	绑定监听的 IP	多网卡时可指定，如仅内网 `192.168.1.20`
redirectPort	需 SSL 时重定向到的端口	如 8443
maxConnections	服务器接受并处理的最大连接数	超过后只接受不处理，等空闲；默认 8192

<Connector port="8080" protocol="HTTP/1.1" connectionTimeout="20000" maxThreads="500" minSpareThreads="50" maxSpareThreads="200" acceptCount="500" acceptorThreadCount="2" enableLookups="false" compression="on" compressionMinSize="2048" compressableMimeType="text/html,text/xml,text/plain,text/css,text/javascript,application/javascript,application/json" noCompressionUserAgents="gozilla-trident" URIEncoding="UTF-8" redirectPort="8443"/>

属性	含义（官方）	用途 / 建议
port	AJP 监听端口	默认 8009
protocol	AJP/1.3	与 Apache/Nginx AJP 模块通信
secret	与 Web 服务器约定的密钥（可选但推荐）	防止未授权访问 AJP 端口
secretRequired	是否强制要求 secret	生产建议 true
address	绑定 IP	仅内网时可指定
redirectPort	需 SSL 时重定向端口	如 8443

<Connector port="8009" protocol="AJP/1.3" secret="your-secret-string" secretRequired="true" address="192.168.1.20" redirectPort="8443"/>

资源	链接	用途
Nginx 反向代理	Reverse Proxy	proxy_pass、proxy_set_header、超时等
Nginx proxy 模块	ngx_http_proxy_module	官方指令列表与参数
Nginx upstream 模块	ngx_http_upstream_module	upstream、server、负载算法、backup
Nginx 负载均衡	HTTP Load Balancing	负载均衡配置与健康检查
Tomcat 9 配置	Apache Tomcat 9 Configuration	server.xml、Connector、Host、Context
Tomcat AJP Connector	The AJP Connector	AJP 端口、secret、address 等

Nginx + Tomcat 反向代理完全指南

🎯 什么是反向代理？

正向代理 vs 反向代理

📖 名词解释（命令与概念）

反向代理相关

Nginx 负载与超时

Tomcat 相关

相近概念对比（为什么容易混淆？）

🌐 Nginx 详解

什么是 Nginx？

Nginx 背后的公司与产品线

Nginx vs Apache 对比

Nginx 下载、安装与启动

下载来源

安装（以主流 Linux 为例）

启动、停止、重载与开机自启

验证安装与运行

默认路径速查（包安装）

Nginx 版本说明（mainline 与 stable）

安装与运行常见问题

Nginx 反向代理配置

Nginx 负载均衡算法

🐘 Tomcat 详解

什么是 Tomcat？

Tomcat 背后的项目与机构

Tomcat 核心组件

Tomcat 连接器类型

☕ Tomcat 与 JSP、Servlet、Java、Vue 的配置与使用

整体关系一览

Tomcat 与 Java：运行环境与启动参数

Tomcat 与 Servlet：部署与 URL 映射

Tomcat 与 JSP：放置与访问

Tomcat 与 Vue：前后端分离的配置与使用

🚀 Nginx 反向代理 Tomcat 实战

环境拓扑

Nginx 配置

Tomcat 配置

会话保持

Tomcat 集群配置与架构

集群架构示意

集群下 Session 的三种做法

Tomcat 集群配置要点

部署与运维要点

与 Redis Session 的简单对比

🖼️ 静态资源缓存

缓存策略

Nginx 静态资源配置

📊 性能优化

Nginx 优化

Tomcat 优化

📈 监控与日志

Nginx 监控

Tomcat 监控

🔧 Nginx 线上常见问题与解决方案

问题定位思路（概览）

502 Bad Gateway

504 Gateway Timeout

413 Request Entity Too Large

499 Client Closed Request

连接数满、文件描述符不足

响应慢、缓冲与缓冲区

日志与排查配置（便于线上排错）

限流与简单防护（避免打满后端）

小结（线上问题处理顺序）

💡 最佳实践

配置建议

安全建议

🔀 与其他软件配合使用及方案对比

与其他软件配合使用

典型组合架构示意

常见组合与用途

方案对比：谁来做 Tomcat 的前端代理？

方案对比：Java 应用服务器 / Servlet 容器

小结（为什么了解配合与对比有用？）

🎯 总结与官方参考

📋 配置项说明（含义与用途，以官网为准）

Nginx 主进程与 events

Nginx http 核心（常用）

Nginx Gzip

Nginx upstream（官方 ngx_http_upstream_module）