保障高并发连接安全需全链路协同：调优内核参数与nginx backlog、限制单ip连接数、叠加请求速率控制、启用后端连接池及合理超时设置。
保障高并发大流量下的连接安全，核心不是“拦住所有连接”，而是让连接进得快、分得稳、不堆积、可退让。Nginx 的连接数限制需嵌入整条链路——从内核接收、到 Nginx 接入、再到后端分发与生命周期管理，缺一不可。
内核与 Nginx 接入层：确保连接能进来
大量连接卡在 TCP 握手完成但未被 accept 的阶段，是丢包和超时的主因：
- 调高系统内核参数：net.core.somaxconn 和 net.ipv4.tcp_max_syn_backlog 均设为 65535，避免默认值（常为 128）成为瓶颈
- Nginx 的 listen 指令必须显式声明 backlog=65535，例如
listen 80 backlog=65535;；否则即使内核调高也无效 - 每个 worker 进程可打开的文件数要匹配：配置 worker_rlimit_nofile 1048576，并确保系统级
ulimit -n≥ 同值 - 启用高效事件模型：epoll + multi_accept on + accept_mutex off，允许多个 worker 并行处理新连接
客户端连接数限制：防止单 IP 耗尽资源
针对连接耗尽攻击（如慢连接、长持连），需对单个客户端的并发连接数硬性约束：
- 在 http 块中定义共享内存区：
limit_conn_zone $binary_remote_addr zone=addr:10m;（用二进制 IP 更省内存） - 在 server 或 location 中应用限制，例如：
limit_conn addr 10;表示每个 IP 最多维持 10 个并发连接 - 返回状态码可自定义：limit_conn_status 429; 替代默认 503，便于前端识别限流响应
- 若需更精细控制（如区分登录用户与游客），可用组合 key：
$binary_remote_addr$cookie_uid
请求速率与连接数协同防护
仅限连接数不够——短连接洪峰仍可能绕过限制。需叠加请求速率控制，形成双保险：
- 定义请求限速区：
limit_req_zone $binary_remote_addr zone=qps:10m rate=50r/s; - 配合突发缓冲：
limit_req zone=qps burst=100 nodelay;允许瞬时流量弹性，但不阻塞 worker - 在关键路径（如登录、下单接口）同时启用两者：
limit_conn addr 5;+limit_req zone=qps burst=20;，兼顾连接数与 QPS 维度 - 注意：limit_conn 作用于 TCP 连接建立阶段，limit_req 作用于 HTTP 请求处理阶段，二者触发时机不同、互不替代
后端协同与连接复用：避免连接在 Nginx 积压
连接安全不只是“不让连”，更是“连了之后不卡死”：
- upstream 中开启连接池：
keepalive 200;（推荐 100–300），复用到后端的连接，减少握手开销 - 透传 HTTP/1.1 长连接：
proxy_http_version 1.1;+proxy_set_header Connection ""; - 超时设置需对齐：Nginx 的 proxy_read_timeout 应比后端 keepalive timeout 小 5–10 秒，防止连接挂起不释放
- 关闭非必要 header 缓冲：
client_header_buffer_size 1k;+large_client_header_buffers 2 2k;，防恶意头部占满内存
