生产环境源码编译nginx的核心目标是安全、稳定、高性能、可维护：必须启用--with-http_ssl_module、--with-http_v2_module、--with-http_realip_module、--with-http_stub_status_module；推荐启用--with-threads、--with-file-aio、--with-pcre-jit；路径需显式指定prefix、user、conf-path等；禁用--with-debug，避免实验性模块。
生产环境源码编译 Nginx，核心目标是：安全、稳定、高性能、可维护。不是参数越多越好，而是按需启用、避免冗余、兼顾兼容性与加固能力。下面直接列出经过多年线上验证的最优实践组合。
必须启用的关键模块
这些模块是现代 Web 服务的基础支撑，缺一不可：
- --with-http_ssl_module：启用 HTTPS，无条件开启（哪怕当前用反向代理，未来扩展也依赖它）
- --with-http_v2_module：HTTP/2 协议支持，显著降低延迟、提升并发效率
- --with-http_realip_module：在反向代理（如前置 CDN 或 LB）场景下，正确获取客户端真实 IP
- --with-http_stub_status_module：暴露基础运行状态（active connections、requests/sec 等），运维监控刚需
性能增强型编译选项
这类参数对高并发、高 I/O 场景有明确收益，但需确认系统内核和 glibc 版本支持：
- --with-threads：启用线程池，缓解阻塞式操作（如日志写入、SSL 握手）对 worker 进程的影响
- --with-file-aio：启用 Linux 原生异步文件 I/O（需内核 ≥ 2.6.22，且 mount 时开启 `aio` 选项）
- --with-pcre-jit：为 PCRE 正则引擎启用 JIT 编译，大幅提升 rewrite、limit_req 等规则匹配速度（建议搭配 --with-pcre 同时指定）
路径与权限控制（生产必备）
不靠默认路径，所有关键路径显式声明，便于标准化部署与权限隔离：
- --prefix=/usr/local/nginx：统一根目录（也可设为 /opt/nginx，按团队规范）
- --user=nginx --group=nginx：编译时绑定运行用户，避免配置遗漏导致以 root 启动
- --conf-path=/etc/nginx/nginx.conf：强制配置文件落于标准位置，利于配置管理工具集成
- --error-log-path=/var/log/nginx/error.log --http-log-path=/var/log/nginx/access.log：日志路径标准化，适配 logrotate 和集中采集
- --pid-path=/var/run/nginx.pid --lock-path=/var/run/nginx.lock：确保 pid 文件可被 systemd 或脚本可靠读取
安全与隐蔽性加固
编译阶段即可消除部分攻击面：
- 不加 --with-debug：调试符号会增大二进制体积、暴露内部结构，生产禁用
- 若需彻底隐藏版本标识，可在编译前修改 src/core/nginx.h 中
NGINX_VERSION和NGINX_VER宏定义（如改为"1.0"或自定义字符串） - 避免启用实验性模块（如
--with-http_v3_module），除非业务明确需要 QUIC 且已充分测试
