Ruby China 社区 Nginx 节点

把自己过去用的很不错的 WAF 开源了

sg552sg552 — Tue, 26 Oct 2021 11:34:58 +0800

github:

地址： WAF: https://github.com/sg552/banana-waf

后台：https://github.com/sg552/banana-waf-admin

BananaWaf 是个超级简单但是实用的防火墙。与 Openresty + Nginx 集成，可以轻松防御绝大部分的恶意请求。包括：

SQLI
XSS
恶意后缀扫描
恶意 POC、参数
指定某个 URL 的访问频率
防止客户端使用 F12
返回迷惑性的 response, 可以定制 (例如 java 项目返回 php 报错页面)
还具备一个管理后台，可以设置对应 URL 的访问频率（另外是个项目，等会儿更新）

优点：

超级快速集成访问速度在很弱的开发服务器达到 9000 每秒，还没有进一步测试生产环境。（欢迎 PR）具备优秀的管理后台，可以查看防御情况（对手 IP，工具手段，参数）

飞书 + Lua 实现企业级组织架构登录认证

k8scat — Fri, 03 Sep 2021 23:51:26 +0800

飞书是字节跳动旗下一款企业级协同办公软件，本文将介绍如何基于飞书开放平台的身份验证能力，使用 Lua 实现企业级组织架构的登录认证网关。

登录流程

让我们首先看一下飞书第三方网站免登的整体流程：

第一步：网页后端发现用户未登录，请求身份验证；第二步：用户登录后，开放平台生成登录预授权码，302 跳转至重定向地址；第三步：网页后端调用获取登录用户身份校验登录预授权码合法性，获取到用户身份；第四步：如需其他用户信息，网页后端可调用获取用户信息（身份验证）。

Lua 实现

飞书接口部分实现

获取应用的 access_token

function _M:get_app_access_token()
    local url = "https://open.feishu.cn/open-apis/auth/v3/tenant_access_token/internal/"
    local body = {
        app_id = self.app_id,
        app_secret = self.app_secret
    }
    local res, err = http_post(url, body, nil)
    if not res then
        return nil, err
    end
    if res.status ~= 200 then
        return nil, res.body
    end
    local data = json.decode(res.body)
    if data["code"] ~= 0 then
        return nil, res.body
    end
    return data["tenant_access_token"]
end

通过回调 code 获取登录用户信息

function _M:get_login_user(code)
    local app_access_token, err = self:get_app_access_token()
    if not app_access_token then
        return nil, "get app_access_token failed: " .. err
    end
    local url = "https://open.feishu.cn/open-apis/authen/v1/access_token"
    local headers = {
        Authorization = "Bearer " .. app_access_token
    }
    local body = {
        grant_type = "authorization_code",
        code = code
    }
    ngx.log(ngx.ERR, json.encode(body))
    local res, err = http_post(url, body, headers)
    if not res then
        return nil, err
    end
    local data = json.decode(res.body)
    if data["code"] ~= 0 then
        return nil, res.body
    end
    return data["data"]
end

获取用户详细信息

获取登录用户信息时无法获取到用户的部门信息，故这里需要使用登录用户信息中的 open_id 获取用户的详细信息，同时 user_access_token 也是来自于获取到的登录用户信息。

function _M:get_user(user_access_token, open_id)
    local url = "https://open.feishu.cn/open-apis/contact/v3/users/" .. open_id
    local headers = {
        Authorization = "Bearer " .. user_access_token
    }
    local res, err = http_get(url, nil, headers)
    if not res then
        return nil, err
    end
    local data = json.decode(res.body)
    if data["code"] ~= 0 then
        return nil, res.body
    end
    return data["data"]["user"], nil
end

登录信息

JWT 登录凭证

我们使用 JWT 作为登录凭证，同时用于保存用户的 open_id 和 department_ids。

-- 生成 token
function _M:sign_token(user)
    local open_id = user["open_id"]
    if not open_id or open_id == "" then
        return nil, "invalid open_id"
    end
    local department_ids = user["department_ids"]
    if not department_ids or type(department_ids) ~= "table" then
        return nil, "invalid department_ids"
    end

    return jwt:sign(
        self.jwt_secret,
        {
            header = {
                typ = "JWT",
                alg = jwt_header_alg,
                exp = ngx.time() + self.jwt_expire
            },
            payload = {
                open_id = open_id,
                department_ids = json.encode(department_ids)
            }
        }
    )
end

-- 验证与解析 token
function _M:verify_token()
    local token = ngx.var.cookie_feishu_auth_token
    if not token then
        return nil, "token not found"
    end

    local result = jwt:verify(self.jwt_secret, token)
    ngx.log(ngx.ERR, "jwt_obj: ", json.encode(result))
    if result["valid"] then
        local payload = result["payload"]
        if payload["department_ids"] and payload["open_id"] then
            return payload
        end
        return nil, "invalid token: " .. json.encode(result)
    end
    return nil, "invalid token: " .. json.encode(result)
end

ngx.header["Set-Cookie"] = self.cookie_key .. "=" .. token

组织架构白名单

我们在用户登录时获取用户的部门信息，或者在用户后续访问应用时解析登录凭证中的部门信息，根据设置的部门白名单，判断用户是否拥有访问应用的权限。

-- 部门白名单配置
_M.department_whitelist = {}

function _M:check_user_access(user)
    if type(self.department_whitelist) ~= "table" then
        ngx.log(ngx.ERR, "department_whitelist is not a table")
        return false
    end
    if #self.department_whitelist == 0 then
        return true
    end

    local department_ids = user["department_ids"]
    if not department_ids or department_ids == "" then
        return false
    end
    if type(department_ids) ~= "table" then
        department_ids = json.decode(department_ids)
    end
    for i=1, #department_ids do
        if has_value(self.department_whitelist, department_ids[i]) then
            return true
        end
    end
    return false
end

使用

本文就不赘述 OpenResty 的安装了，可以参考我的另一篇文章《在 Ubuntu 上使用源码安装 OpenResty》。

下载

cd /path/to
git clone git@github.com:ledgetech/lua-resty-http.git
git clone git@github.com:SkyLothar/lua-resty-jwt.git
git clone git@github.com:k8scat/lua-resty-feishu-auth.git

配置

lua_package_path "/path/to/lua-resty-feishu-auth/lib/?.lua;/path/to/lua-resty-jwt/lib/?.lua;/path/to/lua-resty-http/lib/?.lua;/path/to/lua-resty-redis/lib/?.lua;/path/to/lua-resty-redis-lock/lib/?.lua;;";

server {
    access_by_lua_block {
        local feishu_auth = require "resty.feishu_auth"
        feishu_auth.app_id = ""
        feishu_auth.app_secret = ""
        feishu_auth.callback_uri = "/feishu_auth_callback"
        feishu_auth.logout_uri = "/feishu_auth_logout"
        feishu_auth.app_domain = "feishu-auth.example.com"

        feishu_auth.jwt_secret = "thisisjwtsecret"

        feishu_auth.ip_blacklist = {"47.1.2.3"}
        feishu_auth.uri_whitelist = {"/"}
        feishu_auth.department_whitelist = {"0"}

        feishu_auth:auth()
    }
}

配置说明

app_id 用于设置飞书企业自建应用的 App ID
app_secret 用于设置飞书企业自建应用的 App Secret
callback_uri 用于设置飞书网页登录后的回调地址（需在飞书企业自建应用的安全设置中设置重定向 URL）
logout_uri 用于设置登出地址
app_domain 用于设置访问域名（需和业务服务的访问域名一致）
jwt_secret 用于设置 JWT secret
ip_blacklist 用于设置 IP 黑名单
uri_whitelist 用于设置地址白名单，例如首页不需要登录认证
department_whitelist 用于设置部门白名单（字符串）

应用权限说明

获取部门基础信息
获取部门组织架构信息
以应用身份读取通讯录
获取用户组织架构信息
获取用户基本信息

开源

本项目已完成且已在 GitHub 上开源：k8scat/lua-resty-feishu-auth，希望大家可以动动手指点个 Star，表示对本项目的肯定与支持！

【分享】Inside NGINX: How We Designed for Performance & Scale

yfractal — Thu, 26 Mar 2020 09:54:21 +0800

https://www.nginx.com/blog/inside-nginx-how-we-designed-for-performance-scale/

Rails 项目部署腾讯 Ubuntu 16.04,部署报错 We're sorry, but something went wrong.

korey — Fri, 06 Mar 2020 12:15:57 +0800

我在终端跑 cap production deploy 没有报错而是直接退出然后我在浏览器输入我的服务器 ip 这个是我的 log 文件我是跟着这个文档操作的 https://gorails.com/deploy/ubuntu/16.04 我是一个小白之前几次部署也遇到这种情况一直没有解决，求各位老师指点。谢谢。

PHP 7 安装日志

Ghaker — Thu, 28 Nov 2019 10:24:16 +0800

前奏，安装 gcc 5 以上，我安装了 8

请看这个链接 https://www.cnblogs.com/ToBeExpert/p/10297697.html ，文章的最后是高潮
这么说吧我编译 gcc8 用了 5-6 个小时，配置，windows2012 的 vmware，cpu2x2，显示 4，内存 2G 有需要虚拟机的可以找我要
虚拟机的问题，死活连不上网，这个可能和 dhcp 有关系，桥接然后静态 ip，解决问题，这个花了一天的时间，如果要深入理解桥接和 nat，估计只有学思科或者华为认证了

过程连接

scl 安装 gcc-把 4 改成 8
CentOS 7 升级 gcc/g++ 编译器，我的是 centos6
编译 nginx 的时候报错需要安装 PCRE 2019 年 11 月 28 日 09:24:16
pcre 是一个正则表达式库
nginx 的下载和配置
php+nginx mysql 那块没有借鉴
linux 安装 php7.2.7

补上非 root php

前奏我把 nginx 和 php 都放在环境变量里面了，php 启动的话就是 php-fpm
补能让 php 文件都用 root 权限上传吧！
学习，linux 用户和组，自己创建
php-fpm 的关闭，我是查找进程一个个关闭的，大概有 3-4 个进程，网上的看不懂

重点

Nginx 访问 PHP 文件的 File not found 错误处理，两种情况
我花了一点时间搞定的编辑 etc/php-fpm.d/www.conf 文件查找 user 和 group，之前已经说过了，你懂的
默认查找 php-fpm 的进程是有 nobody 的，改完了之后就是你想要的
过程连接中有提到 nginx 和 php 关联把路径改了，最后一个不要加斜杠！！！记住喽，
配置更改 fastcgi_param SCRIPT_FILENAME /home/yournname/work/php/www$fastcgi_script_name

结尾，准备装禅道，不知道 mysql 驱动装好没有，接下来会写步骤

xdebug 很重要，不知道能否成功

請問 nginx 中 server 帶有多個 location，那如何在瀏覽器中對 location 的緩存做標識

vip5529780 — Thu, 15 Aug 2019 11:29:56 +0800

在配置反向代理的時候遇到了一個問題就是我在 nginx 中配置了 server 對應多個 location，每個 location 都是轉發到不同的目標網站配置文件如下 CC:8083\CC:8080\CC:8088 這三個網站文件結構類似，但屬於不同的業務模塊，現在有個問題就是我在同一瀏覽器中先訪問了 http://AA/OA 網站是可以正常打開的，然後我再去訪問http://AA/OEDI時網站就異常了登錄成功無法正常跳轉，後來發現是緩存文件的問題，清理文件緩存然後再去訪問http://AA/OEDI是正常的。首次訪問了 OA 時瀏覽器緩存了 OA 的文件，再次訪問 OEDI 時調用了 OA 的緩存導致了跳轉失敗，請問這種問題有什麼好的決解方法嗎？如何給緩存做標識？

server {
       listen       80;
       server_name  AA;
       fastcgi_read_timeout 600; #設置服務響應超時問題 如果不設置WEB表單加載時間長的話會報錯（s）
       fastcgi_send_timeout 600; #設置服務響應超時問題 如果不設置WEB表單加載時間長的話會報錯（s）
       client_max_body_size 30m; #設置通過反向代理訪問web可上傳文件的最大值（m）
       location /OA/
       {       
           root   html;
               proxy_pass https://CC:8083/;
           proxy_pass_request_headers on;
               if ( $host ~ "https://CC:8083" )
           {
                   rewrite ^/(.*)$ /OA/$1 last;        
           }
           if ($document_uri ~ http://AA/)
           {
                   rewrite ^/(.*)$ /OA/$1 last;        
           }
           if ( $Uri ~ "https://CC:8083" )
           {
                   rewrite ^/(.*)$ /OA/$1 last;        
           }
           if ( $Uri ~ "https://AA" )
           {
                   rewrite ^/(.*)$ /OA/$1 last;        
           }
       }
       location /OEDI/ 
       {
           root   html;
           proxy_pass https://CC:8088/;
           #proxy_redirect http://$host/;
           proxy_pass_request_headers on;
           if ( $host ~ "https://CC:8088" )
           {
                   rewrite ^/(.*)$ /OEDI/$1 last;      
           }
           if ($document_uri ~ http://AA/)
           {
                   rewrite ^/(.*)$ /OEDI/$1 last;      
           }
           if ( $Uri ~ "https://CC:8088" )
           {
                   rewrite ^/(.*)$ /OEDI/$1 last;      
           }
           if ( $Uri ~ "https://AA" )
           {
                   rewrite ^/(.*)$ /OEDI/$1 last;      
           }

       }
       location / {
           root   html;
           if ($http_cookie ~* "SEDI") {
                           rewrite   ^/(.*)$  /SEDI/$1  last;      
                       }
           if ($http_cookie ~* "OEDI") {
                           rewrite   ^/(.*)$  /OEDI/$1  last;      
                       }
           if ($http_cookie ~* "OA") {
                           rewrite   ^/(.*)$  /OA/$1  last;        
                       }
       }
       location /SEDI/
       {       root   html;
               proxy_pass https://CC:8080/;
           #proxy_redirect http://$host/;
           proxy_pass_request_headers on;
           if ( $host ~ "https://CC:8080" )
           {
               rewrite ^/(.*)$ /SEDI/$1 last;      
           }
           if ( $host ~ "http://http://AA" )
           {
               rewrite ^/(.*)$ /SEDI/$1 last;      
           }
           if ($document_uri ~ http://AA/)
           {
               rewrite ^/(.*)$ /SEDI/$1 last;      
           }
           if ( $Uri ~ "https://CC:8088" )
           {
                   rewrite ^/(.*)$ /SEDI/$1 last;      
           }
           if ( $Uri ~ "https://AA" )
           {
               rewrite ^/(.*)$ /SEDI/$1 last;      
           }
       }
   }

Nginx 进程和信号

tuliang — Sun, 02 Dec 2018 10:49:15 +0800

Nginx 进程和信号

进程结构

一般来说 Nginx 有一个父进程 Master，和一个或多个子进程。

子进程分两类，一种是 Worker 进程，另一种是 Cache 相关的进程。

Cache 在多个 Worker 间共享使用。同时被进程 Cache manager 和 Cache loader 使用。Cache loader 做缓存的载入，Cache manager 做缓存的管理。这些进程间的通讯都是使用共享内存来解决的。

为什么不用多线程？因为线程之间是共享地址空间的，当某一个第三方模块引发了地址空间的段错误时，地址越界出现时，会导致整个进程挂掉。

Nginx 希望每个 Worker 进程从头到尾占有一个 CPU，所以往往不止要把 Worker 进程的数量配置与服务器的 CPU 核数一致以外，还需要把每一个 Worker 进程与某一个 CPU 核绑定在一起。这样可以更好的使用每个 CPU 核上面的 CPU 缓存，提高缓存的命中率。

不仅仅是缓存的原因，一个进程从头到尾占有一个 CPU，减少 CPU 上下文切换的次数和耗时，让 CPU 更多的时间用在运行进程上。

Master 进程

监控 Worker 进程，接受信号

CHLD，子进程终止的时候会向父进程发送 CHLD。Master 进程通过这个信号维持 Worker 进程的数量。

管理 Worker 进程，发送信号

TERM/INT，立刻停止进程。
QUIT，优雅的退出，等请求处理完才退出，用户无感知。
HUP，重载配置文件。
USR1，重新打开日志文件，做日志文件的切割。

下面 2 个信号，Nginx 命令行中没有对应的操作，只能通过 kill 直接向 Master 进程发送

USR2，热升级第一阶段，启动新进程。旧的 Nginx 主进程 Master 将会把自己的进程文件改名为 .oldbin，然后执行新版 Nginx。此时新旧 Nginx 会同时运行，共同处理请求。
WINCH，热升级第二阶段，停止老进程。逐步停止旧版 Nginx 的 Worker 进程就都会随着任务执行完毕而退出，新版的 Nginx 的 Worker 进程会逐渐取代旧版 Worker 进程。

Worker 进程

和上面对应，接受信号

TERM/INT
QUIT
USR1
WINCH

Nginx 命令行

启动 Nginx 以后，Nginx 会把 Master 进程的 pid 记录到一个文件中，一般是 Nginx 安装目录下 logs/nginx.pid。

我们平时使用的命令行其实就是对这个 pid 发送对应的信号。

reload: HUP
reopen: USR1
stop: TERM
quit: QUIT

reload 流程

向 Master 进程发送 HUP 信号（reload 命令）
Master 进程校验配置语法是否正确
Master 进程更新监听端口（比如新配置增加了监听 443 端口）
Master 进程用新配置启动新的 Worker 子进程
Master 进程向老 Worker 子进程发送 QUIT 信号
老 Worker 子进程关闭监听句柄，处理完当前连接后结束进程

在 1.11.11 的版本中，增加了 worker_shutdown_timeout 参数来设置优雅退出 Worker 进程的超时时间。

热升级流程

将旧 Nginx 文件换成新 Nginx 文件（注意备份）
向 Master 进程发送 USR2 信号
Master 进程修改 pid 文件名，加后缀 .oldbin
Master 进程用新 Nginx 文件启动新 Master 进程
向老 Master 进程发送 WINCH 信号，老 Master 进程会优雅关闭老 Worker 进程
此时老 Master 进程依然存活，如果出现问题需要回滚。向老 Master 进程发送 HUP，然后向新 Master 发送 QUIT 即可。（注意恢复备份文件）
正常升级后，通过 kill -QUIT 信号关闭老 Master 进程

新老 Master 进程，同时存在，那么是怎么同时监听端口的？

新老 Master 进程是父子进程，所以可以同时监听。

优雅关闭 Worker 进程

优雅关闭是指 HTTP 请求，如果代理的是 WebSocket、TCP、UDP，这时候 Nginx 是无法进行优雅关闭的。

设置定时器（这个功能默认不开启，配置文件有设置 worker_shutdown_timeout 才会生效）
关闭监听句柄
关闭空闲连接
在循环中等待全部连接关闭（如果设置了 worker_shutdown_timeout，超时后会强制关闭全部连接）
退出进程

更多信息可以参考官方文档 Starting, Stopping, and Restarting NGINX

原文转自博客 Nginx 进程和信号

负载均衡的两台服务器里的项目，如何实现 public 下的资源共享

ad583255925 — Tue, 28 Aug 2018 17:49:55 +0800

访问 A 服务器的一张图片，404 之后再去 B 尝试一下，这种方案是否可行

有没有办法在 Nginx 记录给用户发送的页面内容

gaicitadie — Fri, 13 Jul 2018 17:33:46 +0800

因为使用 nginx 反向代理，页面被插入了跳转代码，跳转到一个广告链接。不确定是服务器出的问题还是代理服务器出的问题。想在代理服务器的 nginx 上做个日志记录，记录每次请求发送给用户的 html 页面的内容，有没有从 nginx 入手的办法？

网站反映慢,经常出现卡死

tang05709 — Thu, 31 May 2018 10:34:02 +0800

我的服务器同时部署啦 homeland 和 redmine,redmine 访问无压力，很快，但是 homenald 就经常卡死，配置 ubuntu16.04, 4 核 8gb，使用的是 nginx+passenger, 不要问我为什么用论坛做文章，我也很无奈。

[ N 2018-05-31 10:05:06.3541 4919/T7 age/Cor/CoreMain.cpp:616 ]: Signal received. Gracefully shutting down... (send signal 2 more time(s) to force shutdown)
[ N 2018-05-31 10:05:06.3543 4919/T1 age/Cor/CoreMain.cpp:1161 ]: Received command to shutdown gracefully. Waiting until all clients have disconnected...
[ N 2018-05-31 10:05:06.3543 4919/T1 age/Cor/CoreMain.cpp:1075 ]: Checking whether to disconnect long-running connections for process 20897, application /jxredmine (production)
[ N 2018-05-31 10:05:06.3573 4919/T1 age/Cor/CoreMain.cpp:1075 ]: Checking whether to disconnect long-running connections for process 5310, application /jxcatbbs (production)
[ N 2018-05-31 10:05:06.3617 4919/T1 age/Cor/CoreMain.cpp:1075 ]: Checking whether to disconnect long-running connections for process 32529, application /jxcatbbs (production)
[ N 2018-05-31 10:05:06.3645 4919/T1 age/Cor/CoreMain.cpp:1075 ]: Checking whether to disconnect long-running connections for process 32553, application /jxcatbbs (production)
[ N 2018-05-31 10:05:06.3695 4919/T1 age/Cor/CoreMain.cpp:1075 ]: Checking whether to disconnect long-running connections for process 32725, application /jxcatbbs (production)
[ N 2018-05-31 10:05:06.3695 4919/T1 age/Cor/CoreMain.cpp:1075 ]: Checking whether to disconnect long-running connections for process 421, application /jxcatbbs (production)
[ N 2018-05-31 10:05:06.3773 4919/T7 Ser/Server.h:903 ]: [ServerThr.1] Freed 0 spare client objects
[ N 2018-05-31 10:05:06.3773 4919/T7 Ser/Server.h:559 ]: [ServerThr.1] Shutdown finished
[ N 2018-05-31 10:05:06.3774 4919/Tf Ser/Server.h:903 ]: [ApiServer] Freed 0 spare client objects
[ N 2018-05-31 10:05:06.3774 4919/Tf Ser/Server.h:559 ]: [ApiServer] Shutdown finished
[ N 2018-05-31 10:05:06.4396 4919/Td Ser/Server.h:903 ]: [ServerThr.4] Freed 0 spare client objects
[ N 2018-05-31 10:05:06.4396 4919/Td Ser/Server.h:559 ]: [ServerThr.4] Shutdown finished
[ N 2018-05-31 10:05:06.5251 4919/T9 Ser/Server.h:903 ]: [ServerThr.2] Freed 0 spare client objects
[ N 2018-05-31 10:05:06.5252 4919/T9 Ser/Server.h:559 ]: [ServerThr.2] Shutdown finished
[ N 2018-05-31 10:05:06.5462 4919/Tb Ser/Server.h:903 ]: [ServerThr.3] Freed 0 spare client objects
[ N 2018-05-31 10:05:06.5462 4919/Tb Ser/Server.h:559 ]: [ServerThr.3] Shutdown finished
[ N 2018-05-31 10:05:06.5463 4919/T1 age/Cor/CoreMain.cpp:1075 ]: Checking whether to disconnect long-running connections for process 20897, application //jxredmine (production)
[ N 2018-05-31 10:05:06.7471 4919/T1 age/Cor/CoreMain.cpp:1075 ]: Checking whether to disconnect long-running connections for process 5310, application /jxcatbbs (production)
[ N 2018-05-31 10:05:06.7472 4919/T1 age/Cor/CoreMain.cpp:1075 ]: Checking whether to disconnect long-running connections for process 32529, application /jxcatbbs (production)
[ N 2018-05-31 10:05:06.7472 4919/T1 age/Cor/CoreMain.cpp:1075 ]: Checking whether to disconnect long-running connections for process 32553, application /jxcatbbs (production)
[ N 2018-05-31 10:05:06.7473 4919/T1 age/Cor/CoreMain.cpp:1075 ]: Checking whether to disconnect long-running connections for process 32725, application /jxcatbbs (production)
[ N 2018-05-31 10:05:06.7473 4919/T1 age/Cor/CoreMain.cpp:1075 ]: Checking whether to disconnect long-running connections for process 421, application /jxcatbbs (production)
[ N 2018-05-31 10:05:07.1117 4919/T1 age/Cor/CoreMain.cpp:1234 ]: Passenger core shutdown finished
2018/05/31 10:05:07 [info] 1432#1432: Using 32768KiB of shared memory for nchan in /etc/nginx/nginx.conf:77
[ N 2018-05-31 10:05:07.4512 1438/T1 age/Wat/WatchdogMain.cpp:1258 ]: Starting Passenger watchdog...
[ N 2018-05-31 10:05:07.4760 1441/T1 age/Cor/CoreMain.cpp:1249 ]: Starting Passenger core...
[ N 2018-05-31 10:05:07.4762 1441/T1 age/Cor/CoreMain.cpp:252 ]: Passenger core running in multi-application mode.
[ N 2018-05-31 10:05:07.4897 1441/T1 age/Cor/CoreMain.cpp:984 ]: Passenger core online, PID 1441
App 1467 stdout:
[ N 2018-05-31 10:05:12.2656 1441/T5 age/Cor/SecurityUpdateChecker.h:517 ]: Security update check: no update found (next check in 24 hours)
App 1577 stdout:
App 1594 stdout:
App 1609 stdout:
App 1624 stdout:
App 1658 stdout:

nginx:

listen 443;
  server_name bbs.jxcat.com;
  ssl on;
  root xxx/public;

  passenger_enabled on;

  rails_env production;

  index index.html index.htm;

  location / {
    # First attempt to serve request as file, then
    # as directory, then fall back to displaying a 404.
    root xxx/public;
    # try_files $uri $uri/ =404;
  }

地址：bbs.jxcat.com

https 在 Nginx 中应该怎么配置默认就是使用 https 呢？

QueXuQ — Fri, 04 May 2018 10:25:25 +0800

配置好 https 后，发现了两个问题：
我们配置的域名是www.xxx.com，但是发现 ruby china 是使用xxx.com，不需要用到前面的www，这两种方式的区别在哪里呢？哪 3 一种比较好。
还有一个就是，现在访问，默认依然是使用 http，只有在使用 https 访问，才会用到 https，怎么在 nginx 配置，默认就是使用 https 呢？

想到一个 Nginx + Docker 进行热部署的方案，不知道是否有更优解

gaicitadie — Mon, 26 Mar 2018 15:59:46 +0800

开两个 docker，一个是主 server，一个临时 server，都映射到同一个 rails 目录。

在更新代码之前：

1、启动临时server
2、启动成功后修改nginx的配置文件，把端口转发到临时server，然后nginx -s reload，用临时server提供服务
3、更新代码
4、重启主server
5、等主server启动后，再把nginx的配置文件改回来，把端口转发改回主server，然后nginx -s reload，至此代码更新完毕。

****/projects 往后的所有路径匹配到一个静态文件应该如何写 loaction？

QueXuQ — Mon, 30 Oct 2017 21:46:47 +0800

location /projects {
  alias /home/deploy/www/projects_vue;
  index index.htm index.html;
}

因为这是一个前端写的项目，本来想着这样匹配到 index 就可以了，但是没想到如果访问***/projects/orders之类的域名，就会出现 404，但是找了一下，没有发现相关的 nginx 该如何写这个 location，希望/projects后面的所有域名的去到 index.html 中呢？多谢。

根据楼下小伙伴的提示，把配置改成：

upstream example {
  server unix:///tmp/example.sock;
}

server {
  listen 80;
  server_name www.example.io;
  root /home/deploy/example_backend/current/public;

  location / {
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_redirect off;

    if (-f $request_filename/index.html) {
      rewrite (.*) $1/index.html break;
    }

    if (-f $request_filename.html) {
      rewrite (.*) $1.html break;
    }

    if (!-f $request_filename) {
      proxy_pass http://example;
      break;
    }
  }

  location /project {
    alias /home/deploy/example_frontend;
    try_files $uri $uri/ /index.html?/$request_uri;
  }
}

可是仍然是原来的问题，不同的是/project/xxxx这类域名，就跑去读取 rails 了，而不是 404 了。目前应该如何改进会更好？

配置了 https 后就返回 302 错误，自己捣鼓了快三天了，还不解决不了，请教一下各位。

apgeypeu — Wed, 04 Oct 2017 10:31:34 +0800

#server
#   {
#   listen 80;
#   server_name www.test.com test.com;
#   return 301 https://$server_name$request_uri;
#   
#}




server {
#   listen 80;
    listen 443 ssl;
    server_name www.test.com test.com;
    index index.htm index.php index.html;
    root /home/www/test;
    ssl on; 

    ssl_certificate /etc/nginx/conf.d/cert/ssl.pem;
    ssl_certificate_key /etc/nginx/conf.d/cert/ssl.key;
    ssl_session_timeout 5m;
    ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    ssl_prefer_server_ciphers on;

    include enable-php5.conf;


    location /nginx_status {
        stub_status on;
    }

    location ~ .*\.(gif|jpg|jpeg|png|bmp|swf)$
        {
            expires      30d;
        }

        location ~ .*\.(js|css)?$
        {
            expires      12h;
        }

        location ~ /.well-known {
            allow all;
        }

        location ~ /\.
        {
           deny all;
        }
    location /{
            if (!-e $request_filename){
             rewrite ^/(.*)$ /index.php?s=$1 last;
            }
        }
    access_log /home/wwwlogs/test001.log;
}

各位大佬帮忙看个 Nginx 的问题

xandy5004 — Tue, 26 Sep 2017 21:30:10 +0800

各位大佬帮忙看个 Nginx 的问题

程序前台访问一些内容，然后用 Nginx 的 auth 模块加了一层验证，如果 token 正确就返回 200，错误就返回 401

但是我这里用前台传过来的

key:x-auth-token value:834d4531-035b-475f-96bf-b54b1be2bce0

让 nginx 往后端传的时候

X-auth-token $http_x-auth-token

后端接到的 value 却变成了

key:x-auth-token value:-auth-token

求大佬帮忙看看为什么获取不到前台的 x-auth-token 变量

Windows 版 request.getScheme () 如何获取 https

dudm6911 — Mon, 18 Sep 2017 10:11:52 +0800

windows 下 nginx-1.12.1 实现 http 转 https。 nginx.conf

server {
       listen       80;
       server_name  *.cn;
       rewrite ^(.*)$ https://$host$1 permanent;

}
            proxy_set_header       Host $host;  

        proxy_set_header  X-Real-IP  $remote_addr;  
    proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;  
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_set_header X-Forwarded-Scheme $scheme;

tomcat 的 server.xml 增加：

<Valve className="org.apache.catalina.valves.RemoteIpValve"  
                          remoteIpHeader="X-Forwarded-For"  
                          protocolHeader="X-Forwarded-Proto"  
                          protocolHeaderHttpsValue="https"/>

jsp 中：String path = request.getContextPath(); String basePath = request.getScheme() + "://" request.getServerName() + ":" + request.getServerPort() 取到的仍然是 http，不是 https

请问各路大侠 nginx 怎么绑定.pro 后缀的域名

cison — Fri, 15 Sep 2017 15:41:25 +0800

请问各路大侠 nginx 怎么绑定.pro 后缀的域名

使用 Nginx 搭建文件下载服务器，但点击下载，响应时间随文件大小变大而增加

sujielei — Tue, 22 Aug 2017 17:48:41 +0800

设置如下：

server {
        listen   8110;
        server_name  localhost;

        access_log  /root/log;

        root    /pathto/dowloads;

        autoindex       on;
        autoindex_exact_size    off;
        autoindex_localtime     on;
}

请问有什么其他设置可以改进体验吗？

比如： https://mirrors.tuna.tsinghua.edu.cn/anaconda/archive/ 这个网站，也是用 nginx 搭建的，点击要下载的文件，马上就跳出下载框了。然而我的，几十兆的文件都要等半天才会跳出下载框。

求教。

为何 Nginx 只有部分域名能进去

AgainCheng — Tue, 22 Aug 2017 11:05:39 +0800

接手到旧后台的服务器，目前只能访问他以前的域名，换回我自己的前缀却不可以，求解

求助正则大神！！！NGINX 静态目录如何仅代理子目录下的文件！？

a814503592 — Sun, 20 Aug 2017 10:57:18 +0800

如题，有以下应用场景，用 nginx 代理 D 盘下 d:/data 目录，想通过路由，如http://localhost/data/test.txt 去访问 d:/data/20170820/test.txt 这个文件，我的 location 配置应该如何写？要不要用正则？要不要中 rewrite，可是我两者都不熟啊大神们！！！求助 ing 这是静态目录的结构：这是 20170820 目录下文件存放的方式：求助大神！

Ruby China 社区 Nginx 节点

把自己过去用的很不错的 WAF 开源了

github:

飞书 + Lua 实现企业级组织架构登录认证

登录流程

Lua 实现

飞书接口部分实现

获取应用的 access_token

通过回调 code 获取登录用户信息

获取用户详细信息

登录信息

JWT 登录凭证

使用 Cookie 存储登录凭证

组织架构白名单

更多网关配置

使用

下载

配置

配置说明

应用权限说明

开源

【分享】Inside NGINX: How We Designed for Performance & Scale

Rails 项目部署腾讯 Ubuntu 16.04,部署报错 We're sorry, but something went wrong.

PHP 7 安装日志

前奏，安装 gcc 5 以上，我安装了 8

过程连接

补上非 root php

重点

结尾，准备装禅道，不知道 mysql 驱动装好没有，接下来会写步骤

xdebug 很重要，不知道能否成功

請問 nginx 中 server 帶有多個 location，那如何在瀏覽器中對 location 的緩存做標識

Nginx 进程和信号

Nginx 进程和信号

进程结构

Master 进程

Worker 进程

Nginx 命令行

reload 流程

热升级流程

优雅关闭 Worker 进程

负载均衡的两台服务器里的项目，如何实现 public 下的资源共享

有没有办法在 Nginx 记录给用户发送的页面内容

网站反映慢,经常出现卡死

https 在 Nginx 中应该怎么配置默认就是使用 https 呢？

想到一个 Nginx + Docker 进行热部署的方案，不知道是否有更优解

****/projects 往后的所有路径匹配到一个静态文件应该如何写 loaction？

配置了 https 后就返回 302 错误，自己捣鼓了快三天了，还不解决不了，请教一下各位。

各位大佬帮忙看个 Nginx 的问题

Windows 版 request.getScheme () 如何获取 https

请问各路大侠 nginx 怎么绑定.pro 后缀的域名

使用 Nginx 搭建文件下载服务器，但点击下载，响应时间随文件大小变大而增加

为何 Nginx 只有部分域名能进去

求助正则大神！！！NGINX 静态目录如何仅代理子目录下的文件！？