# -------------------------- main 区块（全局配置）--------------------------
# 工作进程数：建议设为 CPU 核心数，auto 表示自动匹配
worker_processes auto;
# 全局错误日志路径与级别（debug/info/notice/warn/error/crit）
error_log /usr/local/nginx/logs/error.log warn;
# 进程 PID 文件路径
pid /usr/local/nginx/logs/nginx.pid;
# -------------------------- events 区块（连接处理配置）--------------------------
events {
    # 每个工作进程的最大连接数（默认 1024，需结合系统文件描述符调整）
    worker_connections 1024;
    # 事件模型：Linux 推荐 epoll，BSD 推荐 kqueue
    use epoll;
    # 允许一个连接同时被多个请求复用（HTTP 长连接相关）
    multi_accept on;
}
# -------------------------- http 区块（HTTP 协议总配置）--------------------------
http {
    # 引入 MIME 类型映射文件（定义文件后缀与 Content-Type 的对应关系）
    include       /usr/local/nginx/conf/mime.types;
    # 未知文件类型的默认 Content-Type
    default_type  application/octet-stream;
    # 日志格式定义（main 为格式名称，可自定义）
    log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
                      '$status $body_bytes_sent "$http_referer" '
                      '"$http_user_agent" "$http_x_forwarded_for"';
    # 访问日志路径，使用 main 格式
    access_log  /usr/local/nginx/logs/access.log  main;
    # 启用零拷贝（直接磁盘→网卡传输，跳过用户态缓冲区，提升性能）
    sendfile        on;
    # 与 sendfile 配合，合并数据包发送，减少 TCP 握手次数
    tcp_nopush      on;
    # 禁用 Nagle 算法，小数据包即时发送（平衡延迟与效率）
    tcp_nodelay     on;
    # 连接超时时间（客户端与 Nginx 保持连接的超时时间）
    keepalive_timeout  65;
    # -------------------------- server 区块（虚拟主机）--------------------------
    # 定义一个虚拟主机（可理解为“单个网站”）
    server {
        # 监听端口（默认 80，HTTP 标准端口）
        listen       80;
        # 绑定域名（多个域名用空格分隔，如 "example.com www.example.com"）
        server_name  localhost;
        # 字符集设置（避免中文乱码）
        charset utf-8;
        # -------------------------- location 区块（请求路径匹配）--------------------------
        # 匹配根路径 "/"（所有未被其他 location 匹配的请求都会命中这里）
        location / {
            # 网站根目录（静态资源存放路径）
            root   /usr/local/nginx/html;
            # 默认首页（多个页面用空格分隔，按顺序查找）
            index  index.html index.htm;
        }
        # 匹配 404 错误页面
        error_page  404              /404.html;
        # 匹配 50x 系列错误（500/502/503/504）
        error_page   500 502 503 504  /50x.html;
        # 对应错误页面的路径配置
        location = /50x.html {
            root   /usr/local/nginx/html;
        }
    }
}

# 在nginx.conf的main块中设置
worker_processes auto;  # 自动设置为CPU核心数
worker_cpu_affinity auto;  # 自动绑定CPU核心
# 设置每个Worker进程的最大文件打开数
worker_rlimit_nofile 100000;
events {
    worker_connections 4096;  # 每个Worker的最大连接数
    use epoll;  # Linux高性能事件模型
    multi_accept on;  # 一次接受所有新连接
}

Master Process (PID: 1234) [管理者]
├── Worker Process (PID: 1235)  [处理客户端请求]
├── Worker Process (PID: 1236)  [处理客户端请求]
├── Worker Process (PID: 1237)  [处理客户端请求]
├── Cache Loader Process (PID: 1238) [只在启动时出现，用于初始化缓存索引，完成后自动退出]
└── Cache Manager Process (PID: 1239) [常驻的“后台管家”，定期清理过期缓存]

# ==================== 层级1: Main Context (全局配置) ====================
worker_processes auto;                      # 工作进程数，建议设为 CPU 核心数
error_log /var/log/nginx/error.log warn;    # 全局错误日志路径与级别
pid /run/nginx.pid;                         # 进程 PID 文件路径
# ==================== 层级2: Events Context (事件配置) ==================
events {
    worker_connections 1024;                # 每个工作进程的最大连接数
    use epoll;                              # Linux 系统推荐使用 epoll 事件模型
    multi_accept on;                        # 允许一个连接同时处理多个请求
}
# ==================== 层级3: HTTP Context (HTTP协议配置) ================
http {
    include /etc/nginx/mime.types;          # 引入 MIME 类型映射文件
    default_type application/octet-stream;  # 未知文件类型的默认 Content-Type
    # 定义日志格式
    log_format main '$remote_addr - $remote_user [$time_local] "$request" '
                    '$status $body_bytes_sent "$http_referer" '
                    '"$http_user_agent" "$http_x_forwarded_for"';

    access_log /var/log/nginx/access.log main;  # 访问日志路径和格式
    # 性能优化指令
    sendfile on;                            # 启用零拷贝传输
    tcp_nopush on;                          # 优化数据包发送，减少网络报文
    tcp_nodelay on;                         # 禁用 Nagle 算法，降低延迟
    keepalive_timeout 65;                   # 客户端连接保持超时时间
    # 启用 Gzip 压缩
    gzip on;
    gzip_types text/plain text/css application/json application/javascript;
    # ==================== 层级4: Server Context (虚拟主机配置) ============
    server {
        listen 80;                          # 监听 80 端口（HTTP）
        server_name example.com www.example.com;  # 绑定的域名
        # 字符集设置，避免中文乱码
        charset utf-8;
        # ==================== 层级5: Location Context (URI匹配配置) =======
        location / {
            root /var/www/html;             # 网站根目录
            index index.html index.htm;     # 默认首页文件
        }
        # 静态资源缓存优化
        location ~* \.(jpg|jpeg|png|gif|ico|css|js)$ {
            root /var/www/static;
            expires 1y;                     # 缓存 1 年
            add_header Cache-Control "public, immutable";
        }
        # 错误页面配置
        error_page 404 /404.html;
        error_page 500 502 503 504 /50x.html;

        location = /50x.html {
            root /var/www/html;
        }
    }
}

server {
    # 1. 精确匹配 (=) - 最高优先级
    location = /exact-path {
        return 200 "This is an exact match";
    }

    # 2. 优先前缀匹配 (^~) - 第二优先级
    location ^~ /static/ {
        root /var/www;
        # 此配置会阻止后续的正则匹配
    }

    # 3. 正则匹配 (~ 区分大小写, ~* 不区分大小写)
    location ~ \.php$ {
        # 处理PHP文件
        fastcgi_pass 127.0.0.1:9000;
    }

    location ~* \.(jpg|png|gif)$ {
        # 处理图片文件，不区分大小写
        expires 30d;
    }

    # 4. 普通前缀匹配 - 最低优先级
    location / {
        # 通用匹配
        try_files $uri $uri/ =404;
    }
}

server {
    listen 80;
    server_name static.example.com;

    # 基础静态文件服务
    location / {
        root /var/www/html;  # 设置根目录路径
        index index.html index.htm;  # 默认索引文件

        # 性能优化设置
        sendfile on;  # 启用零拷贝传输，绕过用户空间直接在内核处理文件发送
        tcp_nopush on;  # 在sendfile启用时，优化数据包发送，减少网络报文数量

        # 缓存控制
        expires 1h;  # 设置浏览器缓存1小时（HTTP响应头Expires和Cache-Control）
        add_header Cache-Control "public";  # 允许所有缓存（CDN、代理、浏览器）缓存资源
    }
    # 图片文件特殊处理
    location ~* \.(jpg|jpeg|png|gif|ico|webp)$ {
        root /var/www/images;

        # 更长的缓存时间
        expires 1y;
        add_header Cache-Control "public, immutable";

        # 图片优化
        image_filter resize 800 600;  # 可选：图片处理
    }

    # CSS和JS文件
    location ~* \.(css|js)$ {
        root /var/www/assets;
        expires 7d;
        add_header Cache-Control "public";

        # Gzip压缩
        gzip on;
        gzip_types text/css application/javascript;
    }
}

http {
    # 文件访问缓存配置（优化静态文件读取性能）
    # 启用文件描述符缓存，最多缓存10000个文件描述符，30秒内未被访问则移除缓存
    open_file_cache max=10000 inactive=30s;
    # 每60秒检查一次缓存中文件的有效性（如是否被修改）
    open_file_cache_valid 60s;
    # 一个文件至少被访问2次后才会被缓存（避免缓存低频访问文件）
    open_file_cache_min_uses 2;
    # 缓存文件访问错误（如文件不存在、权限问题），避免重复校验错误状态
    open_file_cache_errors on;

    # Gzip压缩配置（减少网络传输数据量，提升加载速度）
    gzip on;  # 开启Gzip压缩
    gzip_vary on;  # 在响应头中添加Vary: Accept-Encoding，告知客户端支持压缩
    gzip_min_length 1024;  # 仅压缩大小超过1024字节的文件（小文件压缩收益低）
    # 指定需要压缩的MIME类型（文件类型）
    gzip_types
        text/plain          # 纯文本
        text/css            # CSS样式表
        text/xml            # XML文档
        text/javascript     # JS脚本（旧标准）
        application/javascript  # JS脚本（新标准）
        application/xml+rss     # RSS订阅XML
        application/json;       # JSON数据
}

server {
    listen 80;
    server_name example.com;

    location / {
        # 基本代理设置
        proxy_pass http://backend_server;

        # 重要的请求头设置（确保后端服务器能获取正确的客户端信息，而不是看到代理服务器的IP）
        proxy_set_header Host $host;                    # 保持原始域名
        proxy_set_header X-Real-IP $remote_addr;        # 传递客户端真实IP
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; # 代理链IP记录
        proxy_set_header X-Forwarded-Proto $scheme;     # 传递原始协议(http/https)
        # 超时设置（防止因后端服务响应慢而阻塞 Nginx 工作进程）
        proxy_connect_timeout 30s;  # 连接后端超时时间
        proxy_send_timeout 30s;     # 发送请求到后端超时时间  
        proxy_read_timeout 30s;     # 读取后端响应超时时间

        # 缓冲优化（缓冲后端响应，减少后端服务器连接保持时间，优化对客户端的响应传输，防止快速客户端拖慢慢速后端）
        proxy_buffering on;
        proxy_buffer_size 4k;       # 响应头缓冲区大小
        proxy_buffers 8 4k;         # 响应体缓冲区(8个4k块)
    }
}
# 定义后端服务器组
upstream backend_server {
    server 192.168.1.10:8080;
    server 192.168.1.11:8080;
}

location /api/ {
    # 将匹配 /api/ 路径的请求代理到名为 api_backend 的后端服务器组
    proxy_pass http://api_backend;

    # ======================
    # 错误处理与故障转移配置
    # ======================

    # 定义在什么情况下应该尝试下一个上游服务器
    # error:          与后端服务器建立连接、发送请求或读取响应时发生错误
    # timeout:        与后端服务器连接、发送或读取超时
    # invalid_header: 后端服务器返回空或无效的响应头
    # http_500:       后端服务器返回500状态码
    # http_502:       后端服务器返回502状态码  
    # http_503:       后端服务器返回503状态码
    proxy_next_upstream error timeout invalid_header http_500 http_502 http_503;

    # 指定故障转移的最大重试次数（包括第一次请求）
    # 这里设置为3次，意味着如果第一个服务器失败，会再尝试另外两个服务器
    proxy_next_upstream_tries 3;

    # 设置故障转移的超时时间限制
    # 在30秒内如果没有成功响应，则停止尝试其他服务器并返回错误
    proxy_next_upstream_timeout 30s;

    # ======================
    # 连接池配置（性能优化）
    # ======================

    # 设置与每个后端服务器保持的最大空闲keepalive连接数
    # 保持连接复用可以减少TCP握手开销，提高性能
    keepalive 32;

    # 设置keepalive连接的最大空闲时间
    # 超过30秒未使用的连接将被关闭
    keepalive_timeout 30s;

    # 单个keepalive连接上允许处理的最大请求数
    # 达到100个请求后连接将被关闭，防止连接老化
    keepalive_requests 100;

    # ======================
    # 超时与重试机制
    # ======================

    # 与后端服务器建立连接的超时时间
    # 如果5秒内无法建立连接，将触发错误处理
    proxy_connect_timeout 5s;

    # 向后端服务器发送请求的超时时间
    # 如果10秒内无法发送完所有请求数据，将触发错误处理
    proxy_send_timeout 10s;

    # 从后端服务器读取响应的超时时间
    # 如果30秒内没有收到任何数据，将触发错误处理
    # 对于API接口，这个值通常设置得比连接和发送超时长
    proxy_read_timeout 30s;
}

upstream backend_cluster {
    # 负载均衡算法
    least_conn;  # 最少连接数算法

    # 服务器定义
    server 192.168.1.10:8080 weight=3 max_fails=3 fail_timeout=30s;
    server 192.168.1.11:8080 weight=2 max_fails=3 fail_timeout=30s;
    server 192.168.1.12:8080 weight=1 max_fails=3 fail_timeout=30s;
    server 192.168.1.13:8080 backup;  # 备份服务器
}
server {
    listen 80;
    server_name app.example.com;

    location / {
        proxy_pass http://backend_cluster;
        proxy_set_header Host $host;
        # 其他代理配置...
    }
}

# 1. 轮询（默认）
upstream round_robin {
    server backend1.example.com;
    server backend2.example.com;
}
# 2. 加权轮询
upstream weighted_round_robin {
    server backend1.example.com weight=5;  # 处理50%的请求
    server backend2.example.com weight=3;  # 处理30%的请求
    server backend3.example.com weight=2;  # 处理20%的请求
}
# 3. IP哈希（会话保持）
upstream ip_hash {
    ip_hash;  # 基于客户端IP的哈希
    server backend1.example.com;
    server backend2.example.com;
}
# 4. 最少连接数
upstream least_conn {
    least_conn;
    server backend1.example.com;
    server backend2.example.com;
}
# 5. 基于响应时间的负载均衡（需要商业版）
upstream response_time {
    fair;
    server backend1.example.com;
    server backend2.example.com;
}

upstream dynamic_backend {
    server 192.168.1.20:8000;
    server 192.168.1.21:8000;
}
server {
    listen 80;
    server_name www.example.com;

    # 静态资源 - 直接由Nginx处理
    location ~* \.(jpg|jpeg|png|gif|ico|css|js|pdf|txt)$ {
        root /var/www/static;

        # 缓存优化
        expires 1y;
        add_header Cache-Control "public, immutable";

        # 性能优化
        sendfile on;
        tcp_nopush on;

        # 如果文件不存在，不代理到后端
        try_files $uri =404;
    }

    # 动态请求 - 代理到后端应用服务器
    location / {
        proxy_pass http://dynamic_backend;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }

    # API请求单独处理
    location /api/ {
        proxy_pass http://dynamic_backend;
        # 特殊的API配置...
    }
}

# HTTPS服务器配置
server {
    listen 443 ssl http2;  # 启用HTTP/2
    server_name example.com;

    # SSL证书配置
    ssl_certificate /etc/nginx/ssl/example.com.crt;
    ssl_certificate_key /etc/nginx/ssl/example.com.key;

    # SSL协议配置
    ssl_protocols TLSv1.2 TLSv1.3;  # 禁用不安全的旧协议
    ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384;
    ssl_prefer_server_ciphers off;

    # SSL性能优化
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 10m;
    ssl_session_tickets off;

    # 安全头设置
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
    add_header X-Frame-Options "SAMEORIGIN" always;
    add_header X-Content-Type-Options "nosniff" always;
    add_header X-XSS-Protection "1; mode=block" always;

    # 应用配置
    location / {
        proxy_pass http://backend_server;
        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-Proto https;
    }
}
# HTTP重定向到HTTPS
server {
    listen 80;
    server_name example.com;
    return 301 https://$server_name$request_uri;
}

# nginx.conf 中的性能优化配置
http {
    # 基础性能设置
    sendfile on;
    tcp_nopush on;
    tcp_nodelay on;
    keepalive_timeout 65;
    keepalive_requests 1000;

    # 缓冲优化
    client_body_buffer_size 128k;
    client_max_body_size 10m;
    client_header_buffer_size 1k;
    large_client_header_buffers 4 4k;

    # Gzip压缩优化
    gzip on;
    gzip_min_length 1024;
    gzip_types
        text/plain
        text/css
        text/xml
        text/javascript
        application/javascript
        application/xml+rss
        application/json;

    # 文件缓存优化
    open_file_cache max=10000 inactive=30s;
    open_file_cache_valid 60s;
    open_file_cache_min_uses 2;
    open_file_cache_errors on;
}
# 事件模块优化
events {
    worker_connections 2048;
    use epoll;
    multi_accept on;
}

# 调整内核参数（/etc/sysctl.conf）
echo 'net.core.somaxconn = 65535' >> /etc/sysctl.conf
echo 'net.core.netdev_max_backlog = 65536' >> /etc/sysctl.conf
echo 'net.ipv4.tcp_max_syn_backlog = 65536' >> /etc/sysctl.conf
echo 'net.ipv4.tcp_fin_timeout = 30' >> /etc/sysctl.conf
echo 'net.ipv4.tcp_tw_reuse = 1' >> /etc/sysctl.conf
echo 'fs.file-max = 100000' >> /etc/sysctl.conf
# 应用配置
sysctl -p

server {
    # 隐藏Nginx版本信息
    server_tokens off;

    # 安全头设置
    add_header X-Frame-Options "SAMEORIGIN" always;
    add_header X-Content-Type-Options "nosniff" always;
    add_header X-XSS-Protection "1; mode=block" always;
    add_header Referrer-Policy "strict-origin-when-cross-origin" always;

    # 限制请求方法
    if ($request_method !~ ^(GET|HEAD|POST)$) {
        return 405;
    }

    # 防止点击劫持
    add_header X-Frame-Options "SAMEORIGIN";

    # 限制文件上传大小
    client_max_body_size 10m;
}
# 速率限制防御DDoS
http {
    limit_req_zone $binary_remote_addr zone=api:10m rate=10r/s;
    limit_req_zone $binary_remote_addr zone=login:10m rate=1r/m;

    server {
        location /api/ {
            limit_req zone=api burst=20 nodelay;
            # API配置...
        }

        location /login {
            limit_req zone=login burst=5;
            # 登录配置...
        }
    }
}

# 防止SQL注入和XSS攻击
server {
    # 屏蔽敏感文件
    location ~ /\.(ht|git|svn) {
        deny all;
    }

    location ~* \.(bak|config|sql|log)$ {
        deny all;
    }

    # 防止图片盗链
    location ~* \.(jpg|jpeg|png|gif)$ {
        valid_referers none blocked server_names ~\.google\. ~\.baidu\.;
        if ($invalid_referer) {
            return 403;
            # 或者返回一个默认图片
            # rewrite ^ /images/blocked.png;
        }
    }
}

# 测试配置
nginx -t

# 重新加载配置（不中断服务）
nginx -s reload

# 重新打开日志文件
nginx -s reopen

# 优雅停止
nginx -s quit