linux node.js生产环境配置需聚焦五环节：权限隔离（专用用户运行）、systemd进程守护、nginx反向代理与静态托管、npm依赖锁定及安全扫描、资源与日志策略管控。
直接在 Linux 服务器上配置 Node.js 生产环境，核心不是“装上就行”，而是让服务跑得稳、防得住、管得了。重点在于用户权限隔离、进程守护、反向代理、安全加固和依赖治理这五个环节。
用专用用户运行 Node 进程
绝不能用 root 启动应用。创建独立系统用户，限制其权限范围：
- 执行 sudo groupadd -r nodeapps && sudo useradd -r -g nodeapps -s /bin/false -d /opt/nodeapp nodeuser 创建无登录权限的用户
- 把项目目录（如 /var/www/myapp）所有权设为该用户：sudo chown -R nodeuser:nodeapps /var/www/myapp
- systemd 服务文件中必须指定 User=nodeuser 和 Group=nodeapps，禁止 shell 访问是基础防线
用 systemd 管理服务生命周期
别依赖 PM2 或 forever 做主进程管理——systemd 是 Linux 生产环境的标准方案：
- 写好 /etc/systemd/system/myapp.service，关键项包括：Restart=always、RestartSec=3、Environment=NODE_ENV=production
- 启动后执行 sudo systemctl daemon-reload && sudo systemctl enable myapp && sudo systemctl start myapp
- 日志统一走 journalctl：sudo journalctl -u myapp -f，不用再维护分散的 log 文件
配 Nginx 做反向代理和静态资源托管
Node.js 不适合直接暴露给公网，Nginx 承担 SSL 终止、gzip 压缩、缓存和负载分发：
- 监听 80/443 端口，把请求代理到本地 http://127.0.0.1:3000（Node 监听 localhost，不暴露外网）
- 静态文件（如 /public）由 Nginx 直接 serve，不经过 Node，大幅降低 JS 堆栈压力
- 启用 proxy_buffering on 和合理设置 client_max_body_size 防止大上传中断
锁定依赖与定期安全扫描
npm audit 不是上线前点一下就完事，它要嵌入日常流程：
- 部署时执行 npm ci --only=production（比 install 更干净，强制按 package-lock.json 安装）
- CI/CD 流水线里加入 npm audit --audit-level=high，失败即阻断发布
- 对无法自动修复的高危漏洞，记录在 issue 跟踪表里，明确责任人和修复排期
设置合理的资源与日志策略
避免内存溢出或磁盘撑爆，靠的是提前约束而非事后排查：
- 在 systemd 服务配置中加 MemoryMax=1G 和 LimitNOFILE=65536，防 OOM 和文件句柄耗尽
- Node 应用内用 pino 或 winston 输出结构化日志，Nginx 日志开启 log_format main 并轮转
- 用 logrotate 管理所有日志，保留最近 7 天，单个文件不超过 100MB
