Web 服务器搭建完全指南：Nginx / Apache / Caddy

# ── Ubuntu / Debian ──────────────────────────────────────────────────────────
sudo apt update && sudo apt install nginx -y

# 启动并设置开机自启
sudo systemctl enable --now nginx

# 验证安装：访问 http://服务器IP 应看到 "Welcome to nginx!" 页面
curl -I http://localhost   # 应返回 200 OK

# ── CentOS / AlmaLinux / RHEL ─────────────────────────────────────────────────
sudo yum install nginx -y
sudo systemctl enable --now nginx

# 文件路径：/etc/nginx/conf.d/mysite.conf
# Ubuntu/Debian 也可放到 /etc/nginx/sites-available/mysite.conf（需创建软链接激活）

server {
    listen 80;
    listen [::]:80;                          # 同时监听 IPv6
    server_name example.com www.example.com; # 您的域名

    root /var/www/mysite;                    # 网站根目录
    index index.html index.htm index.php;    # 默认首页文件顺序

    # 日志（每个站点独立日志，便于排查）
    access_log /var/log/nginx/mysite_access.log;
    error_log  /var/log/nginx/mysite_error.log warn;

    # 静态文件请求处理：先找文件，再找目录，最后返回 404
    location / {
        try_files $uri $uri/ =404;
    }

    # 静态资源长期缓存（图片/CSS/JS/字体）
    location ~* \.(jpg|jpeg|png|gif|ico|css|js|woff2|svg)$ {
        expires 30d;
        add_header Cache-Control "public, immutable";
    }

    # 禁止访问隐藏文件（.git/.env 等）
    location ~ /\. {
        deny all;
        access_log off;
        log_not_found off;
    }
}

# 文件路径：/etc/nginx/nginx.conf
# 以下配置针对 2核4GB 服务器调优，根据实际硬件调整数值

# ── 全局块 ────────────────────────────────────────────────────────────────────
worker_processes auto;          # 自动匹配 CPU 核心数（推荐）
worker_rlimit_nofile 65535;     # 每个 worker 进程最大打开文件数

events {
    worker_connections 4096;    # 每个 worker 的最大并发连接数
    multi_accept on;            # 一次接受所有新连接（提升突发连接效率）
    use epoll;                  # Linux 最高效的 I/O 事件模型
}

http {
    # ── 基础安全 ──────────────────────────────────────────────────────────────
    server_tokens off;          # 隐藏 Nginx 版本号（防止版本探测）
    
    # ── 连接优化 ──────────────────────────────────────────────────────────────
    keepalive_timeout 65;       # 保持 HTTP 长连接 65 秒
    keepalive_requests 1000;    # 单个长连接最多处理 1000 个请求
    client_header_timeout 15;   # 读取请求头超时（防慢速攻击）
    client_body_timeout   15;
    send_timeout          15;

    # ── Gzip 压缩（减少 60-80% 传输体积）────────────────────────────────────
    gzip on;
    gzip_vary on;               # 告知代理服务器缓存 gzip 版本
    gzip_proxied any;           # 对代理请求也压缩
    gzip_comp_level 6;          # 压缩级别 1-9，6 是性能与压缩率的最佳平衡点
    gzip_min_length 1000;       # 小于 1KB 的响应不压缩
    gzip_types
        text/plain text/css text/xml text/javascript
        application/json application/javascript application/xml
        application/x-font-ttf font/opentype image/svg+xml;

    # ── 文件缓存（减少磁盘 I/O）───────────────────────────────────────────────
    open_file_cache max=10000 inactive=30s;  # 缓存最多 10000 个文件描述符
    open_file_cache_valid    60s;
    open_file_cache_min_uses 2;              # 至少访问 2 次才缓存
    open_file_cache_errors   on;

    # ── 请求限速（防 CC 攻击，从第12篇 security-advanced 引入）────────────────
    limit_req_zone $binary_remote_addr zone=perip:10m rate=30r/s;
    limit_conn_zone $binary_remote_addr zone=addr:10m;

    include /etc/nginx/conf.d/*.conf;
}

# 反向代理：将域名请求转发到后端应用（Node.js/Python/Go 等）
# 文件路径：/etc/nginx/conf.d/api.conf

upstream backend_app {
    # keepalive 保持与后端的持久连接，减少 TCP 握手开销
    keepalive 32;
    server 127.0.0.1:3000;     # 后端应用地址和端口
    # server 127.0.0.1:3001;   # 可以添加多个后端实现负载均衡
}

server {
    listen 80;
    server_name api.example.com;

    # 应用连接限速规则
    limit_req zone=perip burst=50 nodelay;

    location / {
        proxy_pass http://backend_app;
        proxy_http_version 1.1;

        # WebSocket 支持（如果后端有 WS 连接需要这两行）
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";

        # 传递真实客户端信息到后端
        proxy_set_header Host              $host;
        proxy_set_header X-Real-IP         $remote_addr;
        proxy_set_header X-Forwarded-For   $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;

        # 超时配置（后端响应超过此时间返回 504）
        proxy_connect_timeout  10s;
        proxy_send_timeout     60s;
        proxy_read_timeout     60s;

        # 缓冲区（防止后端慢速导致 worker 阻塞）
        proxy_buffering on;
        proxy_buffer_size 8k;
        proxy_buffers 16 8k;
    }
}

# 负载均衡：将流量分散到多台后端服务器
upstream web_cluster {
    # least_conn：将请求发到当前连接数最少的服务器（适合耗时不均的请求）
    least_conn;

    server backend1.example.com:8080 weight=3;  # weight 越大获得越多流量
    server backend2.example.com:8080 weight=2;
    server backend3.example.com:8080 weight=1;

    # backup：仅在其他服务器全部不可用时启用
    # server backup.example.com:8080 backup;

    keepalive 64;
}

# 其他负载均衡策略：
# round_robin（默认）：轮询，最简单
# ip_hash：同一 IP 始终路由到同一后端（适合 Session 不共享的场景）
# hash $request_uri consistent：按 URL 哈希（适合缓存命中率优化）

# ── 安装 PHP 8.3 和 PHP-FPM ────────────────────────────────────────────────
# Ubuntu 22.04+ / Debian 12 使用 ondrej/php PPA 获取最新版
apt install -y software-properties-common
add-apt-repository ppa:ondrej/php -y   # Ubuntu 专用，Debian 跳过此步
apt update

# 安装 PHP-FPM 和 WordPress 常用扩展
apt install -y php8.3-fpm php8.3-mysql php8.3-curl php8.3-gd                php8.3-intl php8.3-mbstring php8.3-xml php8.3-zip                php8.3-bcmath php8.3-imagick

# 启动 PHP-FPM
systemctl enable --now php8.3-fpm

# 验证 PHP-FPM 正在运行（监听 Unix socket）
ls -la /run/php/php8.3-fpm.sock   # 应存在此 socket 文件

# 文件路径：/etc/nginx/conf.d/wordpress.conf
# WordPress + Nginx + PHP-FPM 完整配置

server {
    listen 80;
    server_name yourblog.com www.yourblog.com;
    root /var/www/wordpress;
    index index.php index.html;

    # WordPress 固定链接支持
    location / {
        try_files $uri $uri/ /index.php?$args;
    }

    # PHP 文件通过 FastCGI 交给 PHP-FPM 处理
    location ~ \.php$ {
        # 防止 Nginx 处理不存在的 PHP 文件（安全）
        try_files $uri =404;
        fastcgi_split_path_info ^(.+\.php)(/.+)$;

        # 连接 PHP-FPM（Unix socket 比 TCP 快约 10%）
        fastcgi_pass unix:/run/php/php8.3-fpm.sock;
        fastcgi_index index.php;

        # 传递标准 FastCGI 参数
        include fastcgi_params;
        fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
        fastcgi_param PATH_INFO $fastcgi_path_info;

        # FastCGI 缓冲（减少 PHP-FPM 进程等待时间）
        fastcgi_buffering on;
        fastcgi_buffer_size 16k;
        fastcgi_buffers 16 16k;
        fastcgi_read_timeout 120s;
    }

    # WordPress 上传文件大小限制
    client_max_body_size 64M;

    # 禁止访问 WordPress 敏感文件
    location ~* /wp-config\.php { deny all; }
    location ~* /xmlrpc\.php    { deny all; }  # 禁用 XML-RPC 防暴力破解
    location ~* /\.               { deny all; }  # 禁止访问隐藏文件
}

# 文件路径：/etc/php/8.3/fpm/pool.d/www.conf
# PHP-FPM 进程池配置（根据服务器内存调整）

[www]
user  = www-data
group = www-data

# ── 进程管理模式 ──────────────────────────────────────────────────────────────
# dynamic（推荐）：根据负载动态调整进程数，平衡性能与内存
pm = dynamic

# 进程数参考公式（以每个 PHP 进程占 50MB 内存为例）：
# pm.max_children = 可用内存(MB) / 50
pm.max_children   = 20   # 1GB 内存约设 20
pm.start_servers  = 5    # 启动时初始化 5 个进程
pm.min_spare_servers = 3 # 最少保留 3 个空闲进程
pm.max_spare_servers = 8 # 最多保留 8 个空闲进程

# 每个进程处理 500 个请求后重启（防内存泄漏）
pm.max_requests = 500

# ── PHP 运行时配置（覆盖 php.ini）────────────────────────────────────────────
php_value[memory_limit]       = 256M
php_value[upload_max_filesize] = 64M
php_value[post_max_size]       = 64M
php_value[max_execution_time]  = 120

# 开启 PHP-FPM 慢日志（记录超过 5 秒的请求，性能调优利器）
slowlog = /var/log/php8.3-fpm-slow.log
request_slowlog_timeout = 5s

# ── Ubuntu / Debian ──────────────────────────────────────────────────────────
sudo apt update && sudo apt install apache2 -y
sudo systemctl enable --now apache2

# ── CentOS / RHEL（软件包名为 httpd）─────────────────────────────────────────
sudo yum install httpd -y
sudo systemctl enable --now httpd

# 验证：访问 http://服务器IP 应看到 Apache 欢迎页
curl -I http://localhost

# 文件路径：/etc/apache2/sites-available/mysite.conf（Ubuntu）
# CentOS：/etc/httpd/conf.d/mysite.conf

<VirtualHost *:80>
    ServerName   example.com
    ServerAlias  www.example.com
    DocumentRoot /var/www/mysite

    <Directory /var/www/mysite>
        Options -Indexes +FollowSymLinks   # 禁止目录浏览，允许符号链接
        AllowOverride All                  # 允许 .htaccess（如不需要改 None 提升性能）
        Require all granted
    </Directory>

    # 日志（每站点独立）
    ErrorLog  ${APACHE_LOG_DIR}/mysite_error.log
    CustomLog ${APACHE_LOG_DIR}/mysite_access.log combined
</VirtualHost>

# ── Ubuntu 激活站点 ───────────────────────────────────────────────────────────
# sudo a2ensite mysite.conf
# sudo a2enmod rewrite                    # 启用 URL 重写模块（WordPress 必需）
# sudo systemctl reload apache2

# 文件路径：/var/www/mysite/.htaccess
# 注意：AllowOverride All 时 Apache 才会读取此文件

# ── 开启 URL 重写 ─────────────────────────────────────────────────────────────
RewriteEngine On

# 强制 HTTPS（HTTP 全部跳转到 HTTPS）
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}/$1 [R=301,L]

# 去除 www 前缀（统一规范 URL）
RewriteCond %{HTTP_HOST} ^www\.(.*)$ [NC]
RewriteRule ^(.*)$ https://%1/$1 [R=301,L]

# WordPress 固定链接（所有 PHP 不存在的路径交给 index.php）
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule ^(.*)$ index.php?route=$1 [L,QSA]

# 禁止访问敏感文件
<FilesMatch "^(\.env|\.git|wp-config\.php|readme\.html)">
    Require all denied
</FilesMatch>

# ── Ubuntu / Debian ──────────────────────────────────────────────────────────
# 添加 Caddy 官方 APT 源
apt install -y debian-keyring debian-archive-keyring apt-transport-https curl
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/gpg.key'   | gpg --dearmor -o /usr/share/keyrings/caddy-stable-archive-keyring.gpg
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/debian.deb.txt'   | tee /etc/apt/sources.list.d/caddy-stable.list
apt update && apt install caddy -y

# ── CentOS / RHEL ─────────────────────────────────────────────────────────────
# 参考官方文档：https://caddyserver.com/docs/install#fedora-redhat-centos

# 验证安装
systemctl status caddy
caddy version

# 文件路径：/etc/caddy/Caddyfile
# 这 3 行就是一个完整的 HTTPS 静态网站！

example.com {
    root * /var/www/mysite   # 网站根目录
    file_server              # 开启文件服务器（自动处理静态文件）
    # Caddy 自动为 example.com 申请 Let's Encrypt 证书，自动续期，自动 HTTP→HTTPS 跳转
}

# 文件路径：/etc/caddy/Caddyfile
# 完整的高级配置示例

# 主站：静态 + PHP 博客
example.com {
    root * /var/www/mysite
    file_server
    encode gzip            # 启用 Gzip 压缩

    # 反向代理特定路径到后端 API
    reverse_proxy /api/* localhost:3000

    # PHP-FPM 集成
    php_fastcgi unix//run/php/php8.3-fpm.sock

    # 安全响应头
    header {
        X-Content-Type-Options  "nosniff"
        X-Frame-Options         "DENY"
        Referrer-Policy         "strict-origin-when-cross-origin"
        -Server                 # 删除 Server 响应头
    }

    # 自定义日志格式
    log {
        output file /var/log/caddy/example.log {
            roll_size 100mb
            roll_keep 10
        }
        format console
    }
}

# API 子域名：纯反向代理
api.example.com {
    reverse_proxy localhost:8080
}

# 图床子域名：静态文件服务
cdn.example.com {
    root * /var/www/uploads
    file_server browse   # browse 显示目录列表（内部使用）
}

# 重载配置（不中断现有连接）
# sudo systemctl reload caddy

# ── Ubuntu / Debian ──────────────────────────────────────────────────────────
sudo apt install certbot python3-certbot-nginx python3-certbot-apache -y

# ── CentOS / RHEL（需要 EPEL）─────────────────────────────────────────────────
sudo dnf install epel-release -y
sudo dnf install certbot python3-certbot-nginx python3-certbot-apache -y

# ── 方式一：自动模式（推荐，Certbot 自动修改 Nginx/Apache 配置）─────────────
# Nginx：
sudo certbot --nginx -d example.com -d www.example.com
# 按提示：输入邮箱 → 同意条款 → 选择是否跳转 HTTPS → 完成

# Apache：
sudo certbot --apache -d example.com -d www.example.com

# ── 方式二：certonly 模式（只获取证书，手动配置）──────────────────────────────
# 适合：使用 Docker 或非标准路径的场景
sudo certbot certonly --webroot   -w /var/www/mysite   -d example.com   -d www.example.com   --email admin@example.com   --agree-tos

# 证书文件位置：
# 证书：/etc/letsencrypt/live/example.com/fullchain.pem
# 私钥：/etc/letsencrypt/live/example.com/privkey.pem

# ── 验证自动续期 ──────────────────────────────────────────────────────────────
sudo certbot renew --dry-run     # 模拟续期（不实际执行）
sudo certbot certificates        # 查看所有证书及到期时间

# ── acme.sh 申请泛域名证书（优于 Certbot 的场景：泛域名、DNS 验证、多 CA）──
# 优势：纯 Shell 脚本无依赖、支持 *.example.com 泛域名、支持 ZeroSSL/Let's Encrypt

# 1. 安装 acme.sh
curl https://get.acme.sh | sh -s email=admin@example.com
source ~/.bashrc   # 或重新打开终端

# 2. 配置 Cloudflare DNS API（用于 DNS-01 验证，无需 80 端口开放）
# 在 CF 后台 → 我的个人资料 → API 令牌 → 创建令牌（Zone DNS 编辑权限）
export CF_Token="your_cloudflare_api_token"
export CF_Zone_ID="your_zone_id"

# 3. 申请泛域名证书（* 号匹配所有子域名）
acme.sh --issue   --dns dns_cf   -d example.com   -d "*.example.com"   --server letsencrypt    # 可选 --server zerossl 使用 ZeroSSL

# 4. 安装证书到 Nginx 目录
acme.sh --install-cert   -d example.com   -d "*.example.com"   --cert-file      /etc/nginx/ssl/example.com/cert.pem   --key-file       /etc/nginx/ssl/example.com/key.pem   --fullchain-file /etc/nginx/ssl/example.com/fullchain.pem   --reloadcmd      "systemctl reload nginx"   # 安装后自动 reload

# 5. acme.sh 自动添加 Cron 任务，每天检查并在到期前 30 天自动续期
# 查看：crontab -l | grep acme

# 申请证书后，将 HTTP server 块升级为 HTTPS
# 文件路径：/etc/nginx/conf.d/mysite.conf

# HTTP → HTTPS 跳转
server {
    listen 80;
    listen [::]:80;
    server_name example.com www.example.com;
    return 301 https://$host$request_uri;
}

# HTTPS 主配置
server {
    listen 443 ssl;
    listen [::]:443 ssl;
    http2 on;                                    # 启用 HTTP/2（提升多资源加载速度）
    server_name example.com www.example.com;

    # 证书路径（Certbot 自动填充 / acme.sh 手动指定）
    ssl_certificate     /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

    # ── SSL 安全配置（Mozilla 现代级别）──────────────────────────────────────
    ssl_protocols TLSv1.2 TLSv1.3;              # 只允许 TLS 1.2/1.3，禁用旧版
    ssl_prefer_server_ciphers off;               # 让客户端选择最佳密码套件
    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;

    # SSL Session 复用（减少重复握手开销）
    ssl_session_cache   shared:SSL:10m;
    ssl_session_timeout 1d;

    # HSTS：强制浏览器永远使用 HTTPS（慎用，设置后很难撤销）
    add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;

    # 安全响应头
    add_header X-Frame-Options         "SAMEORIGIN"  always;
    add_header X-Content-Type-Options  "nosniff"     always;
    add_header X-XSS-Protection        "1; mode=block" always;
    server_tokens off;

    root /var/www/mysite;
    index index.html;

    location / {
        try_files $uri $uri/ =404;
    }
}

# ════════════════════════════════════════════════════════════════════
#  Web 服务器故障排查速查手册
# ════════════════════════════════════════════════════════════════════

# ── 通用：查看服务状态与日志 ──────────────────────────────────────────────────
systemctl status nginx                    # 服务是否运行
journalctl -u nginx -n 50 -p err          # 最近 50 条 error 日志
tail -f /var/log/nginx/error.log          # 实时错误日志

# ── Nginx：配置语法检查与重载 ─────────────────────────────────────────────────
nginx -t                                  # 测试配置文件语法（出错显示具体位置）
systemctl reload nginx                    # 语法无误后优雅重载（不中断连接）
# ！永远不要跳过 nginx -t 直接 reload，语法错误会导致 Nginx 完全停止

# ── 端口占用检查 ──────────────────────────────────────────────────────────────
ss -tlnp | grep ':80|:443'               # 查看 80/443 端口被哪个进程占用
lsof -i :80                               # 同上，另一种方式

# ── 权限问题（403 Forbidden）─────────────────────────────────────────────────
# Nginx 以 www-data 用户运行，网站目录必须对其可读
chown -R www-data:www-data /var/www/mysite
chmod -R 755 /var/www/mysite             # 目录 755，文件 644
chmod 644 /var/www/mysite/index.html

# ── PHP-FPM 连接问题 ──────────────────────────────────────────────────────────
systemctl status php8.3-fpm              # FPM 是否运行
ls -la /run/php/php8.3-fpm.sock          # socket 文件是否存在
# 若 socket 不存在，检查 /etc/php/8.3/fpm/pool.d/www.conf 中的 listen 配置

# ── SSL 证书问题 ──────────────────────────────────────────────────────────────
openssl s_client -connect example.com:443 2>/dev/null | openssl x509 -noout -dates
# 输出 notAfter 即到期时间
certbot certificates                     # 查看所有证书状态