502错误首要排查后端服务是否监听：先用ps、netstat、curl验证进程、端口和本地连通性，再检查云服务器安全组、proxy_pass地址一致性（推荐127.0.0.1）、Nginx超时参数及代理头配置。
确认后端服务是否在监听并可响应
502 错误的第一信号是 Nginx 没收到上游（Upstream）的有效响应，但不等于后端挂了——它可能根本没启动、监听错端口、或被防火墙拦住。别跳进配置文件里改来改去，先用命令“敲门”验证：
-
ps aux | grep java或ps aux | grep spring-boot看 Java 进程是否存在（若依等 Spring Boot 项目常用） -
netstat -tlnp | grep :8080（把8080换成你实际用的端口）确认端口确实在 LISTEN 状态，且 PID 对应你的后端进程 -
curl -I http://localhost:8080测试本地直连：返回HTTP/1.1 200 OK才算通；Connection refused表示服务未监听或端口冲突 - 若用云服务器，同步检查安全组是否放行该端口（如
8080/tcp），宝塔「安全」页面或云平台控制台都得看
核对 Nginx proxy_pass 地址与后端监听地址是否严格一致
常见错误是 proxy_pass 写成了 http://localhost:8080，而后端实际监听的是 127.0.0.1:8080（或反之）。Linux 下 localhost 走的是 IPv6 回环或 DNS 解析，和 127.0.0.1 不等价，尤其在禁用 IPv6 或 hosts 被改过时必 502。
实操建议：
- 统一用
127.0.0.1:8080（IPv4 显式地址），避免localhost - 如果后端部署在另一台机器，proxy_pass 必须写内网 IP（如
http://192.168.1.100:8080），不能写localhost或127.0.0.1 - 检查宝塔「网站 → 配置文件」中 location 块里的
proxy_pass，确保末尾没有多余斜杠（http://127.0.0.1:8080/和http://127.0.0.1:8080在路径重写时行为不同） - 改完必须点「重载配置」，只点「保存」不生效
调整 Nginx 与后端的超时参数，避免连接提前中断
后端处理慢一点，Nginx 就可能在它返回前主动断开，直接扔出 502。关键是让 Nginx 的超时 ≥ 后端能容忍的最大响应时间。
在站点配置的 location /prod-api { ... } 块内，补全这三行（单位秒）：
proxy_connect_timeout 300; proxy_send_timeout 300; proxy_read_timeout 300;
注意：proxy_read_timeout 必须 ≥ 后端框架的超时设置（如 Spring Boot 的 server.tomcat.connection-timeout）。若后端设了 60 秒，Nginx 却只等 30 秒，必然 502。
改完执行 nginx -t && systemctl reload nginx，别跳过语法检查。
检查代理头（proxy_set_header）缺失导致后端拒绝请求
有些后端服务（尤其是 Spring Security 或自定义鉴权逻辑）会校验 Host、X-Forwarded-For 等头信息。Nginx 默认不透传这些，若配置里漏掉关键 header，后端可能直接 400 或静默丢弃请求，Nginx 等不到响应就报 502。
确保 proxy 块中包含：
proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme;
特别是 X-Forwarded-For，若依等项目常依赖它做 IP 限流或日志记录；缺了它，后端可能认为请求非法而拒收。
真正卡住的往往不是某一行配置，而是多个环节的微小偏差叠加：后端监听地址和 proxy_pass 差一个点、超时值差 10 秒、少一个 header —— 它们单独看都像“应该没问题”，合起来就是稳稳的 502。排查时按顺序压测每个链路点，比反复重启服务更省时间。
