# -------------------------- main 區(qū)塊（全局配置）--------------------------
# 工作進(jìn)程數(shù)：建議設(shè)為 CPU 核心數(shù)，auto 表示自動(dòng)匹配
worker_processes auto;
# 全局錯(cuò)誤日志路徑與級(jí)別（debug/info/notice/warn/error/crit）
error_log /usr/local/nginx/logs/error.log warn;
# 進(jìn)程 PID 文件路徑
pid /usr/local/nginx/logs/nginx.pid;


# -------------------------- events 區(qū)塊（連接處理配置）--------------------------
events {
    # 每個(gè)工作進(jìn)程的最大連接數(shù)（默認(rèn) 1024，需結(jié)合系統(tǒng)文件描述符調(diào)整）
    worker_connections 1024;
    # 事件模型：Linux 推薦 epoll，BSD 推薦 kqueue
    use epoll;
    # 允許一個(gè)連接同時(shí)被多個(gè)請(qǐng)求復(fù)用（HTTP 長(zhǎng)連接相關(guān)）
    multi_accept on;
}


# -------------------------- http 區(qū)塊（HTTP 協(xié)議總配置）--------------------------
http {
    # 引入 MIME 類型映射文件（定義文件后綴與 Content-Type 的對(duì)應(yīng)關(guān)系）
    include       /usr/local/nginx/conf/mime.types;
    # 未知文件類型的默認(rèn) Content-Type
    default_type  application/octet-stream;

    # 日志格式定義（main 為格式名稱，可自定義）
    log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
                      '$status $body_bytes_sent "$http_referer" '
                      '"$http_user_agent" "$http_x_forwarded_for"';
    # 訪問日志路徑，使用 main 格式
    access_log  /usr/local/nginx/logs/access.log  main;

    # 啟用零拷貝（直接磁盤→網(wǎng)卡傳輸，跳過用戶態(tài)緩沖區(qū)，提升性能）
    sendfile        on;
    # 與 sendfile 配合，合并數(shù)據(jù)包發(fā)送，減少 TCP 握手次數(shù)
    tcp_nopush      on;
    # 禁用 Nagle 算法，小數(shù)據(jù)包即時(shí)發(fā)送（平衡延遲與效率）
    tcp_nodelay     on;

    # 連接超時(shí)時(shí)間（客戶端與 Nginx 保持連接的超時(shí)時(shí)間）
    keepalive_timeout  65;


    # -------------------------- server 區(qū)塊（虛擬主機(jī)）--------------------------
    # 定義一個(gè)虛擬主機(jī)（可理解為“單個(gè)網(wǎng)站”）
    server {
        # 監(jiān)聽端口（默認(rèn) 80，HTTP 標(biāo)準(zhǔn)端口）
        listen       80;
        # 綁定域名（多個(gè)域名用空格分隔，如 "example.com www.example.com"）
        server_name  localhost;

        # 字符集設(shè)置（避免中文亂碼）
        charset utf-8;


        # -------------------------- location 區(qū)塊（請(qǐng)求路徑匹配）--------------------------
        # 匹配根路徑 "/"（所有未被其他 location 匹配的請(qǐng)求都會(huì)命中這里）
        location / {
            # 網(wǎng)站根目錄（靜態(tài)資源存放路徑）
            root   /usr/local/nginx/html;
            # 默認(rèn)首頁(yè)（多個(gè)頁(yè)面用空格分隔，按順序查找）
            index  index.html index.htm;
        }

        # 匹配 404 錯(cuò)誤頁(yè)面
        error_page  404              /404.html;
        # 匹配 50x 系列錯(cuò)誤（500/502/503/504）
        error_page   500 502 503 504  /50x.html;
        # 對(duì)應(yīng)錯(cuò)誤頁(yè)面的路徑配置
        location = /50x.html {
            root   /usr/local/nginx/html;
        }
    }
}

# 在nginx.conf的main塊中設(shè)置
worker_processes auto;  # 自動(dòng)設(shè)置為CPU核心數(shù)
worker_cpu_affinity auto;  # 自動(dòng)綁定CPU核心

# 設(shè)置每個(gè)Worker進(jìn)程的最大文件打開數(shù)
worker_rlimit_nofile 100000;

events {
    worker_connections 4096;  # 每個(gè)Worker的最大連接數(shù)
    use epoll;  # Linux高性能事件模型
    multi_accept on;  # 一次接受所有新連接
}

Master Process (PID: 1234) [管理者]
├── Worker Process (PID: 1235)  [處理客戶端請(qǐng)求]
├── Worker Process (PID: 1236)  [處理客戶端請(qǐng)求]
├── Worker Process (PID: 1237)  [處理客戶端請(qǐng)求]
├── Cache Loader Process (PID: 1238) [只在啟動(dòng)時(shí)出現(xiàn)，用于初始化緩存索引，完成后自動(dòng)退出]
└── Cache Manager Process (PID: 1239) [常駐的“后臺(tái)管家”，定期清理過期緩存]

# ==================== 層級(jí)1: Main Context (全局配置) ====================
worker_processes auto;                      # 工作進(jìn)程數(shù)，建議設(shè)為 CPU 核心數(shù)
error_log /var/log/nginx/error.log warn;    # 全局錯(cuò)誤日志路徑與級(jí)別
pid /run/nginx.pid;                         # 進(jìn)程 PID 文件路徑

# ==================== 層級(jí)2: Events Context (事件配置) ==================
events {
    worker_connections 1024;                # 每個(gè)工作進(jìn)程的最大連接數(shù)
    use epoll;                              # Linux 系統(tǒng)推薦使用 epoll 事件模型
    multi_accept on;                        # 允許一個(gè)連接同時(shí)處理多個(gè)請(qǐng)求
}

# ==================== 層級(jí)3: HTTP Context (HTTP協(xié)議配置) ================
http {
    include /etc/nginx/mime.types;          # 引入 MIME 類型映射文件
    default_type application/octet-stream;  # 未知文件類型的默認(rèn) Content-Type

    # 定義日志格式
    log_format main '$remote_addr - $remote_user [$time_local] "$request" '
                    '$status $body_bytes_sent "$http_referer" '
                    '"$http_user_agent" "$http_x_forwarded_for"';
    
    access_log /var/log/nginx/access.log main;  # 訪問日志路徑和格式

    # 性能優(yōu)化指令
    sendfile on;                            # 啟用零拷貝傳輸
    tcp_nopush on;                          # 優(yōu)化數(shù)據(jù)包發(fā)送，減少網(wǎng)絡(luò)報(bào)文
    tcp_nodelay on;                         # 禁用 Nagle 算法，降低延遲
    keepalive_timeout 65;                   # 客戶端連接保持超時(shí)時(shí)間

    # 啟用 Gzip 壓縮
    gzip on;
    gzip_types text/plain text/css application/json application/javascript;

    # ==================== 層級(jí)4: Server Context (虛擬主機(jī)配置) ============
    server {
        listen 80;                          # 監(jiān)聽 80 端口（HTTP）
        server_name example.com www.example.com;  # 綁定的域名

        # 字符集設(shè)置，避免中文亂碼
        charset utf-8;

        # ==================== 層級(jí)5: Location Context (URI匹配配置) =======
        location / {
            root /var/www/html;             # 網(wǎng)站根目錄
            index index.html index.htm;     # 默認(rèn)首頁(yè)文件
        }

        # 靜態(tài)資源緩存優(yōu)化
        location ~* \.(jpg|jpeg|png|gif|ico|css|js)$ {
            root /var/www/static;
            expires 1y;                     # 緩存 1 年
            add_header Cache-Control "public, immutable";
        }

        # 錯(cuò)誤頁(yè)面配置
        error_page 404 /404.html;
        error_page 500 502 503 504 /50x.html;
        
        location = /50x.html {
            root /var/www/html;
        }
    }
}

server {
    # 1. 精確匹配 (=) - 最高優(yōu)先級(jí)
    location = /exact-path {
        return 200 "This is an exact match";
    }
    
    # 2. 優(yōu)先前綴匹配 (^~) - 第二優(yōu)先級(jí)
    location ^~ /static/ {
        root /var/www;
        # 此配置會(huì)阻止后續(xù)的正則匹配
    }
    
    # 3. 正則匹配 (~ 區(qū)分大小寫, ~* 不區(qū)分大小寫)
    location ~ \.php$ {
        # 處理PHP文件
        fastcgi_pass 127.0.0.1:9000;
    }
    
    location ~* \.(jpg|png|gif)$ {
        # 處理圖片文件，不區(qū)分大小寫
        expires 30d;
    }
    
    # 4. 普通前綴匹配 - 最低優(yōu)先級(jí)
    location / {
        # 通用匹配
        try_files $uri $uri/ =404;
    }
}

server {
    listen 80;
    server_name static.example.com;
    
    # 基礎(chǔ)靜態(tài)文件服務(wù)
    location / {
        root /var/www/html;  # 設(shè)置根目錄路徑
        index index.html index.htm;  # 默認(rèn)索引文件
    
        # 性能優(yōu)化設(shè)置
        sendfile on;  # 啟用零拷貝傳輸，繞過用戶空間直接在內(nèi)核處理文件發(fā)送
        tcp_nopush on;  # 在sendfile啟用時(shí)，優(yōu)化數(shù)據(jù)包發(fā)送，減少網(wǎng)絡(luò)報(bào)文數(shù)量
    
        # 緩存控制
        expires 1h;  # 設(shè)置瀏覽器緩存1小時(shí)（HTTP響應(yīng)頭Expires和Cache-Control）
        add_header Cache-Control "public";  # 允許所有緩存（CDN、代理、瀏覽器）緩存資源
    }

    # 圖片文件特殊處理
    location ~* \.(jpg|jpeg|png|gif|ico|webp)$ {
        root /var/www/images;
        
        # 更長(zhǎng)的緩存時(shí)間
        expires 1y;
        add_header Cache-Control "public, immutable";
        
        # 圖片優(yōu)化
        image_filter resize 800 600;  # 可選：圖片處理
    }
    
    # CSS和JS文件
    location ~* \.(css|js)$ {
        root /var/www/assets;
        expires 7d;
        add_header Cache-Control "public";
        
        # Gzip壓縮
        gzip on;
        gzip_types text/css application/javascript;
    }
}

http {
    # 文件訪問緩存配置（優(yōu)化靜態(tài)文件讀取性能）
    # 啟用文件描述符緩存，最多緩存10000個(gè)文件描述符，30秒內(nèi)未被訪問則移除緩存
    open_file_cache max=10000 inactive=30s;
    # 每60秒檢查一次緩存中文件的有效性（如是否被修改）
    open_file_cache_valid 60s;
    # 一個(gè)文件至少被訪問2次后才會(huì)被緩存（避免緩存低頻訪問文件）
    open_file_cache_min_uses 2;
    # 緩存文件訪問錯(cuò)誤（如文件不存在、權(quán)限問題），避免重復(fù)校驗(yàn)錯(cuò)誤狀態(tài)
    open_file_cache_errors on;
    
    # Gzip壓縮配置（減少網(wǎng)絡(luò)傳輸數(shù)據(jù)量，提升加載速度）
    gzip on;  # 開啟Gzip壓縮
    gzip_vary on;  # 在響應(yīng)頭中添加Vary: Accept-Encoding，告知客戶端支持壓縮
    gzip_min_length 1024;  # 僅壓縮大小超過1024字節(jié)的文件（小文件壓縮收益低）
    # 指定需要壓縮的MIME類型（文件類型）
    gzip_types
        text/plain          # 純文本
        text/css            # CSS樣式表
        text/xml            # XML文檔
        text/javascript     # JS腳本（舊標(biāo)準(zhǔn)）
        application/javascript  # JS腳本（新標(biāo)準(zhǔn)）
        application/xml+rss     # RSS訂閱XML
        application/json;       # JSON數(shù)據(jù)
}

server {
    listen 80;
    server_name example.com;
    
    location / {
        # 基本代理設(shè)置
        proxy_pass http://backend_server;
        
        # 重要的請(qǐng)求頭設(shè)置（確保后端服務(wù)器能獲取正確的客戶端信息，而不是看到代理服務(wù)器的IP）
        proxy_set_header Host $host;                    # 保持原始域名
        proxy_set_header X-Real-IP $remote_addr;        # 傳遞客戶端真實(shí)IP
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; # 代理鏈IP記錄
        proxy_set_header X-Forwarded-Proto $scheme;     # 傳遞原始協(xié)議(http/https)

        # 超時(shí)設(shè)置（防止因后端服務(wù)響應(yīng)慢而阻塞 Nginx 工作進(jìn)程）
        proxy_connect_timeout 30s;  # 連接后端超時(shí)時(shí)間
        proxy_send_timeout 30s;     # 發(fā)送請(qǐng)求到后端超時(shí)時(shí)間  
        proxy_read_timeout 30s;     # 讀取后端響應(yīng)超時(shí)時(shí)間
        
        # 緩沖優(yōu)化（緩沖后端響應(yīng)，減少后端服務(wù)器連接保持時(shí)間，優(yōu)化對(duì)客戶端的響應(yīng)傳輸，防止快速客戶端拖慢慢速后端）
        proxy_buffering on;
        proxy_buffer_size 4k;       # 響應(yīng)頭緩沖區(qū)大小
        proxy_buffers 8 4k;         # 響應(yīng)體緩沖區(qū)(8個(gè)4k塊)
    }
}

# 定義后端服務(wù)器組
upstream backend_server {
    server 192.168.1.10:8080;
    server 192.168.1.11:8080;
}

location /api/ {
    # 將匹配 /api/ 路徑的請(qǐng)求代理到名為 api_backend 的后端服務(wù)器組
    proxy_pass http://api_backend;
    
    # ======================
    # 錯(cuò)誤處理與故障轉(zhuǎn)移配置
    # ======================
    
    # 定義在什么情況下應(yīng)該嘗試下一個(gè)上游服務(wù)器
    # error:          與后端服務(wù)器建立連接、發(fā)送請(qǐng)求或讀取響應(yīng)時(shí)發(fā)生錯(cuò)誤
    # timeout:        與后端服務(wù)器連接、發(fā)送或讀取超時(shí)
    # invalid_header: 后端服務(wù)器返回空或無(wú)效的響應(yīng)頭
    # http_500:       后端服務(wù)器返回500狀態(tài)碼
    # http_502:       后端服務(wù)器返回502狀態(tài)碼  
    # http_503:       后端服務(wù)器返回503狀態(tài)碼
    proxy_next_upstream error timeout invalid_header http_500 http_502 http_503;
    
    # 指定故障轉(zhuǎn)移的最大重試次數(shù)（包括第一次請(qǐng)求）
    # 這里設(shè)置為3次，意味著如果第一個(gè)服務(wù)器失敗，會(huì)再嘗試另外兩個(gè)服務(wù)器
    proxy_next_upstream_tries 3;
    
    # 設(shè)置故障轉(zhuǎn)移的超時(shí)時(shí)間限制
    # 在30秒內(nèi)如果沒有成功響應(yīng)，則停止嘗試其他服務(wù)器并返回錯(cuò)誤
    proxy_next_upstream_timeout 30s;
    
    # ======================
    # 連接池配置（性能優(yōu)化）
    # ======================
    
    # 設(shè)置與每個(gè)后端服務(wù)器保持的最大空閑keepalive連接數(shù)
    # 保持連接復(fù)用可以減少TCP握手開銷，提高性能
    keepalive 32;
    
    # 設(shè)置keepalive連接的最大空閑時(shí)間
    # 超過30秒未使用的連接將被關(guān)閉
    keepalive_timeout 30s;
    
    # 單個(gè)keepalive連接上允許處理的最大請(qǐng)求數(shù)
    # 達(dá)到100個(gè)請(qǐng)求后連接將被關(guān)閉，防止連接老化
    keepalive_requests 100;
    
    # ======================
    # 超時(shí)與重試機(jī)制
    # ======================
    
    # 與后端服務(wù)器建立連接的超時(shí)時(shí)間
    # 如果5秒內(nèi)無(wú)法建立連接，將觸發(fā)錯(cuò)誤處理
    proxy_connect_timeout 5s;
    
    # 向后端服務(wù)器發(fā)送請(qǐng)求的超時(shí)時(shí)間
    # 如果10秒內(nèi)無(wú)法發(fā)送完所有請(qǐng)求數(shù)據(jù)，將觸發(fā)錯(cuò)誤處理
    proxy_send_timeout 10s;
    
    # 從后端服務(wù)器讀取響應(yīng)的超時(shí)時(shí)間
    # 如果30秒內(nèi)沒有收到任何數(shù)據(jù)，將觸發(fā)錯(cuò)誤處理
    # 對(duì)于API接口，這個(gè)值通常設(shè)置得比連接和發(fā)送超時(shí)長(zhǎng)
    proxy_read_timeout 30s;
}

upstream dynamic_backend {
    server 192.168.1.20:8000;
    server 192.168.1.21:8000;
}

server {
    listen 80;
    server_name www.example.com;
    
    # 靜態(tài)資源 - 直接由Nginx處理
    location ~* \.(jpg|jpeg|png|gif|ico|css|js|pdf|txt)$ {
        root /var/www/static;
        
        # 緩存優(yōu)化
        expires 1y;
        add_header Cache-Control "public, immutable";
        
        # 性能優(yōu)化
        sendfile on;
        tcp_nopush on;
        
        # 如果文件不存在，不代理到后端
        try_files $uri =404;
    }
    
    # 動(dòng)態(tài)請(qǐng)求 - 代理到后端應(yīng)用服務(wù)器
    location / {
        proxy_pass http://dynamic_backend;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
    
    # API請(qǐng)求單獨(dú)處理
    location /api/ {
        proxy_pass http://dynamic_backend;
        # 特殊的API配置...
    }
}

# HTTPS服務(wù)器配置
server {
    listen 443 ssl http2;  # 啟用HTTP/2
    server_name example.com;
    
    # SSL證書配置
    ssl_certificate /etc/nginx/ssl/example.com.crt;
    ssl_certificate_key /etc/nginx/ssl/example.com.key;
    
    # SSL協(xié)議配置
    ssl_protocols TLSv1.2 TLSv1.3;  # 禁用不安全的舊協(xié)議
    ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384;
    ssl_prefer_server_ciphers off;
    
    # SSL性能優(yōu)化
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 10m;
    ssl_session_tickets off;
    
    # 安全頭設(shè)置
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
    add_header X-Frame-Options "SAMEORIGIN" always;
    add_header X-Content-Type-Options "nosniff" always;
    add_header X-XSS-Protection "1; mode=block" always;
    
    # 應(yīng)用配置
    location / {
        proxy_pass http://backend_server;
        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-Proto https;
    }
}

# HTTP重定向到HTTPS
server {
    listen 80;
    server_name example.com;
    return 301 https://$server_name$request_uri;
}

# nginx.conf 中的性能優(yōu)化配置
http {
    # 基礎(chǔ)性能設(shè)置
    sendfile on;
    tcp_nopush on;
    tcp_nodelay on;
    keepalive_timeout 65;
    keepalive_requests 1000;
    
    # 緩沖優(yōu)化
    client_body_buffer_size 128k;
    client_max_body_size 10m;
    client_header_buffer_size 1k;
    large_client_header_buffers 4 4k;
    
    # Gzip壓縮優(yōu)化
    gzip on;
    gzip_min_length 1024;
    gzip_types
        text/plain
        text/css
        text/xml
        text/javascript
        application/javascript
        application/xml+rss
        application/json;
    
    # 文件緩存優(yōu)化
    open_file_cache max=10000 inactive=30s;
    open_file_cache_valid 60s;
    open_file_cache_min_uses 2;
    open_file_cache_errors on;
}

# 事件模塊優(yōu)化
events {
    worker_connections 2048;
    use epoll;
    multi_accept on;
}

# 調(diào)整內(nèi)核參數(shù)（/etc/sysctl.conf）
echo 'net.core.somaxconn = 65535' >> /etc/sysctl.conf
echo 'net.core.netdev_max_backlog = 65536' >> /etc/sysctl.conf
echo 'net.ipv4.tcp_max_syn_backlog = 65536' >> /etc/sysctl.conf
echo 'net.ipv4.tcp_fin_timeout = 30' >> /etc/sysctl.conf
echo 'net.ipv4.tcp_tw_reuse = 1' >> /etc/sysctl.conf
echo 'fs.file-max = 100000' >> /etc/sysctl.conf

# 應(yīng)用配置
sysctl -p

server {
    # 隱藏Nginx版本信息
    server_tokens off;
    
    # 安全頭設(shè)置
    add_header X-Frame-Options "SAMEORIGIN" always;
    add_header X-Content-Type-Options "nosniff" always;
    add_header X-XSS-Protection "1; mode=block" always;
    add_header Referrer-Policy "strict-origin-when-cross-origin" always;
    
    # 限制請(qǐng)求方法
    if ($request_method !~ ^(GET|HEAD|POST)$) {
        return 405;
    }
    
    # 防止點(diǎn)擊劫持
    add_header X-Frame-Options "SAMEORIGIN";
    
    # 限制文件上傳大小
    client_max_body_size 10m;
}

# 速率限制防御DDoS
http {
    limit_req_zone $binary_remote_addr zone=api:10m rate=10r/s;
    limit_req_zone $binary_remote_addr zone=login:10m rate=1r/m;
    
    server {
        location /api/ {
            limit_req zone=api burst=20 nodelay;
            # API配置...
        }
        
        location /login {
            limit_req zone=login burst=5;
            # 登錄配置...
        }
    }
}

# 防止SQL注入和XSS攻擊
server {
    # 屏蔽敏感文件
    location ~ /\.(ht|git|svn) {
        deny all;
    }
    
    location ~* \.(bak|config|sql|log)$ {
        deny all;
    }
    
    # 防止圖片盜鏈
    location ~* \.(jpg|jpeg|png|gif)$ {
        valid_referers none blocked server_names ~\.google\. ~\.baidu\.;
        if ($invalid_referer) {
            return 403;
            # 或者返回一個(gè)默認(rèn)圖片
            # rewrite ^ /images/blocked.png;
        }
    }
}

# 測(cè)試配置
nginx -t
 
# 重新加載配置（不中斷服務(wù)）
nginx -s reload
 
# 重新打開日志文件
nginx -s reopen
 
# 優(yōu)雅停止
nginx -s quit