各类Nginx配置

http {
    # 限制器配置：基于客户端IP限制请求速率
    limit_req_zone $binary_remote_addr zone=healthcheck:10m rate=10r/s;
    # $binary_remote_addr：使用客户端 IP 的二进制形式作为标识键
    # zone=healthcheck:10m：创建名为healthcheck的共享内存区，大小 10MB（约存储 50 万 IP 状态）
    # rate=10r/s：限制每个 IP 每秒最多 10 个请求（突发时可处理 10 个，超出则返回 503）

    # 负载均衡组
    upstream backend_servers {
        least_conn;
        ip_hash;
        # 负载均衡策略：

        # ip_hash：同一 IP 的请求始终路由到同一服务器（解决 session 会话保持）
        # least_conn：优先将请求分配给当前连接数最少的服务器（适合长连接服务）

        server backend1.example.com weight=3 max_fails=3 fail_timeout=30s slow_start=60s;
        server backend2.example.com weight=2 max_fails=3 fail_timeout=30s slow_start=60s;
        server backup.example.com backup;
        
        #服务器参数：

        # weight=3：权重值，影响被选中概率（backend1承担约 3/5 流量）
        # max_fails=3：连续 3 次失败后标记为不可用
        # fail_timeout=30s：不可用状态持续 30 秒
        # slow_start=60s：故障恢复后 60 秒内逐渐增加负载（避免流量冲击）


        # 健康检查
        check interval=5000 rise=2 fall=3 timeout=1000 type=http;
        check_http_send "GET /healthcheck HTTP/1.1\r\nHost: backend\r\nAuthorization: Basic dXNlcjpwYXNz\r\n\r\n";
        check_http_expect_alive http_2xx http_3xx;
        
        # 健康检查机制：

        # interval=5000：每 5 秒检查一次
        # rise=2：连续 2 次成功视为健康
        # fall=3：连续 3 次失败视为不健康
        # timeout=1000：检查请求超时时间 1 秒
        # type=http：使用 HTTP 协议检查
        # check_http_send：发送带 Basic 认证的 GET 请求（用户名:password = user:pass） 也可以不用认证 
        # check_http_expect_alive：仅 2xx/3xx 状态码视为健康

# 后端服务验证
# @app.route('/healthcheck')
# def healthcheck():
#     auth = request.authorization
#     if not auth or not check_auth(auth.username, auth.password):
#         return "Unauthorized", 401

    }
    
    server {
        listen 443 ssl;
        server_name example.com;
        
        # 安全头
        add_header X-Content-Type-Options nosniff;
        add_header X-Frame-Options DENY;
        add_header Content-Security-Policy "default-src 'self'";

        # 安全响应头：

        # X-Content-Type-Options: nosniff：防止浏览器 MIME 类型嗅探攻击
        # X-Frame-Options: DENY：禁止页面被 iframe 嵌入
        # Content-Security-Policy: default-src 'self'：仅允许加载同源资源

        location / {
            proxy_pass http://backend_servers;
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_set_header X-Forwarded-Proto $scheme;
            
        # 代理转发设置：

        # proxy_pass：转发请求到backend_servers负载均衡组
        # proxy_set_header：
        #   Host $host：保留原始请求的域名
        #   X-Real-IP $remote_addr：传递客户端真实 IP
        #   X-Forwarded-For：追加代理服务器信息（格式：client, proxy1, proxy2）
        #   X-Forwarded-Proto：传递原始请求协议（http/https）



            # 失败重试
            proxy_next_upstream error timeout http_500 http_502 http_503 http_504;
            proxy_next_upstream_tries 3;


            # proxy_next_upstream：遇到指定错误时自动转发到下一台服务器
            # proxy_next_upstream_tries：每个请求最多尝试 3 次

        }
        
        # 内部健康检查端点（仅允许内网访问）
        location = /internal_health {
            allow 10.0.0.0/8;           # 允许10.0.0.0/8网段访问
            deny all;                   # 拒绝其他所有访问
            stub_status;                # 输出Nginx状态信息
        }
    }
}
一、高级代理代理转发和负载均衡

二、自定义日志格式处理及分析
