Go服务必须绑定127.0.0.1、Nginx proxy_pass必须用https://协议、且禁用proxy_ssl_verify off，三者缺一不可；否则将导致连接中断、502错误或TLS握手失败，并绕过安全防护。
Go服务必须绑定 127.0.0.1，Nginx必须用 https:// 协议代理后端，且不能跳过证书校验——三者缺一不可，否则会出现连接中断、502或TLS握手失败。
Go服务监听地址必须是 127.0.0.1
生产环境里，Go服务如果监听 0.0.0.0:8080 或省略地址（默认等价于 0.0.0.0），等于把服务直接暴露在公网可访问端口上。这不仅绕过Nginx的防护层，还可能被扫描工具发现并发起未授权请求。
正确做法是在Go代码中显式绑定回环地址：
http.ListenAndServe("127.0.0.1:8080", handler)
常见错误现象：
- Nginx日志出现
connect() failed (111: Connection refused)—— 实际是Go服务监听了错误地址，或防火墙拦截了非回环访问 - curl本地能通，但Nginx代理失败 —— 很可能Go服务绑定了
127.0.0.1，而Nginx配置里却用了proxy_pass http://localhost:8080（DNS解析成::1，IPv6优先导致失败）
实操建议：
- 统一用
127.0.0.1:8080代替localhost:8080，避免IPv6解析歧义 - 启动后检查监听状态：
ss -tlnp | grep :8080，确认127.0.0.1:8080在 LISTEN 状态 - 若用 systemd 管理，确保
ExecStart=行中参数明确指定地址
proxy_pass 必须写 https:// 协议
当Go服务本身也启用了HTTPS（例如用 http.ListenAndServeTLS 启动在 127.0.0.1:8443），Nginx转发时若仍写 proxy_pass http://127.0.0.1:8443，会尝试以明文HTTP协议连接HTTPS端口，必然触发SSL handshake failure，Nginx报错 upstream prematurely closed connection while reading response header from upstream。
关键点在于：proxy_pass 的协议头决定Nginx与上游通信的方式，和它自身对外是否HTTPS无关。
实操建议：
- Go服务开HTTPS → Nginx配置必须为
proxy_pass https://127.0.0.1:8443 - 域名匹配问题：若用IP地址（如
127.0.0.1）作proxy_pass目标，后端证书必须在 SAN 中包含该IP，否则TLS验证失败；更稳妥的做法是用内网域名（如go-backend.local）并配好本地/etc/hosts - 务必加
proxy_ssl_name "go-backend.local"，强制SNI和证书CN/SAN比对，尤其在IP代理场景下不可省略
生产环境禁用 proxy_ssl_verify off
开发阶段关掉证书校验看似方便，但上线后等于放弃TLS安全基石。Nginx默认校验三项：证书有效期、CA信任链、域名匹配。跳过任一环节，中间人攻击风险陡增。
真实踩坑案例：
- 自签名证书部署后，Nginx配置了
proxy_ssl_verify off，结果某次Go服务证书意外过期，整个链路静默失效，监控无告警 - 私有CA签发的证书未被Nginx信任，仅靠
proxy_ssl_verify off掩盖问题，后续升级OpenSSL版本后突然拒绝连接
正确路径是让Nginx信任你的CA：
- 把后端CA证书（PEM格式）存到
/etc/nginx/ssl/go-ca.crt - 在server或location块中加入：
proxy_ssl_trusted_certificate /etc/nginx/ssl/go-ca.crt - 配合启用：
proxy_ssl_verify on和proxy_ssl_verify_depth 2 - 验证是否生效：
nginx -t检查语法，再用openssl s_client -connect 127.0.0.1:8443 -CAfile /etc/nginx/ssl/go-ca.crt手动测试连通性
超时与HTTP/1.1长连接必须对齐
Go默认的HTTP/1.1空闲超时是30秒（http.Server.IdleTimeout），而Nginx默认 proxy_read_timeout 是60秒。若Go服务先关闭连接，Nginx再发数据就会触发 Connection reset by peer，返回502。
更隐蔽的问题是HTTP/1.0 fallback：如果Nginx没显式声明协议版本和连接头，Go服务可能降级处理，导致Keep-Alive失效、连接频繁重建。
实操建议：
- Go侧显式设置：
IdleTimeout: 90 * time.Second，大于Nginx的proxy_read_timeout - Nginx侧必须配齐：
proxy_http_version 1.1+proxy_set_header Connection "" - 关键超时参数建议值：
proxy_connect_timeout 5s、proxy_send_timeout 30s、proxy_read_timeout 90s - 不要依赖
keepalive指令（那是给upstream复用连接用的），此处重点是单次请求生命周期对齐
最容易被忽略的是Go服务的 ReadTimeout 和 WriteTimeout —— 它们控制单次读/写操作时限，若设得太短（如5秒），而Nginx还在传大文件或等待慢查询，就会提前断连，且错误日志不提示具体原因。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
