启用haproxy带认证的状态页需在haproxy.cfg中单独添加listen stats段：mode http、bind非标端口（如:4321）、stats enable、stats uri /status、stats auth user:pass，并推荐配置stats hide-version和stats refresh 5s；切勿与主服务端口冲突，且须校验配置并开放对应防火墙端口。

怎么在 HAProxy 里启用带认证的状态页

直接在 haproxy.cfg 里加一个 listen 段是最稳妥的做法，比塞进 defaults 或 frontend 更可控，也避免被其他配置意外覆盖。

常见错误是只写 stats auth 却漏掉 stats enable，结果页面 404 或返回空白；或者把 bind 写成 0.0.0.0:80 这类常用端口，和主服务冲突。

• listen stats 必须单独定义，不能嵌套在其他段内
• mode http 是强制要求，状态页只支持 HTTP 模式
• bind 推荐用非标端口（如 :4321）并绑定到管理网段或 127.0.0.1，公网暴露等于送监控权限
• stats auth 可重复多行，支持多个账号：stats auth admin:pass1、stats auth monitor:pass2

为什么 stats hide-version 和 stats refresh 是必配项

不加 stats hide-version，页面底部会明文显示 HAProxy 版本号（比如 HAProxy 3.2.3），这在生产环境属于信息泄露风险；不设 stats refresh，页面默认不自动刷新，得手动点 F5 才能看到连接数变化，对实时排查毫无帮助。

刷新间隔建议设为 stats refresh 5s 起步。太短（如 1s）会导致频繁请求，尤其后端节点多时，可能触发 maxconn 限制；太长（如 60s）又失去监控意义。

• stats hide-version 不影响功能，只隐藏 footer 文字
• stats refresh 5s 的实际效果是 HTTP 响应头里带 Refresh: 5，浏览器原生支持
• 如果用 curl 测试，得加 -L 参数才能跟随 Refresh 重定向

stats admin if TRUE 的真实作用和风险

stats admin if TRUE 开启的是网页端的「权重调整」「启用/禁用后端」等操作按钮，不是单纯看数据——它等价于给了 Web 界面一个管理员 shell。一旦密码被爆破或弱口令泄露，攻击者可以直接把所有后端设为 down，造成服务中断。

FastAPI Flask Proxy

FastAPI + Flask 混合部署最佳实践，解决路由定义、API 代理等常见问题，适用于同时运行 FastAPI API 与 Flask 前端的场景。

下载

生产环境除非有强审计需求（比如临时排障需快速摘除某节点），否则不要开。如果真要开，必须配合 ACL 限制来源 IP：acl allowed_ips src 192.168.10.0/24 + stats admin if allowed_ips。

• 开启后页面右上角会出现「Maintenance」菜单栏
• 点「Enable/Disable server」会触发 set server 运行时命令，无需 socket 权限
• 即使没开 stats admin，只要能访问页面，仍可看到全部后端健康状态、连接数、错误率等敏感信息

重启后打不开 /status 页面的典型原因

最常踩的坑是配置语法错误导致 HAProxy 启动失败，但 systemctl 显示 active（因为主进程还在跑，只是新配置没加载）。用 haproxy -c -f /etc/haproxy/haproxy.cfg 先校验再重启，能省下半小时排查时间。

另一个隐形陷阱：SELinux 或 AppArmor 默认阻止 HAProxy 绑定非标准端口（比如 4321），现象是 systemctl status haproxy 报 Permission denied on bind，但日志里不显眼。

• 检查配置：运行 haproxy -c -f /etc/haproxy/haproxy.cfg，输出 Configuration file is valid 才算过关
• 检查端口占用：ss -tlnp | grep :4321，确认没被其他进程抢走
• 检查防火墙：iptables -L INPUT -n | grep 4321 或 ufw status，确保放行
• SELinux 临时放行：setsebool -P haproxy_connect_any 1

状态页本身不加密传输，HTTP Basic Auth 的密码是 base64 编码而非加密，所以务必确保访问链路本身安全——要么走内网，要么套一层反向代理加 HTTPS+客户端证书。