Https on Liangweidong's blog

Nginx 反向代理实战：WebSocket、HTTPS、静态站点与 MinIO 网关

Fri, 15 Apr 2022 00:00:00 +0800

Nginx 几乎是后端服务的标配——静态站点、反向代理、负载均衡、WebSocket 网关、HTTPS 终结，每个开发者都用过。但真正"线上跑得稳"需要把几个坑都踩过：WebSocket 反代不写 Upgrade 头、gzip 配错类型反向变慢、HTTPS 证书路径不对、buffer 不够大上传大文件 502。这篇文章把零散在多个笔记里的 Nginx 实战经验整理成一篇。

阅读对象：需要在容器化环境部署 Nginx 做反向代理/静态服务/WebSocket 网关的同学
覆盖范围：Nginx 容器化部署、反向代理基础、HTTPS 终结、WebSocket 反代、gzip/buffer 优化、MinIO 反代示例

一、容器化部署

1.1 最简启动

1

docker run -d --restart=always --name nginx -p 80:80 nginx:stable

推荐用 nginx:stable 而不是 nginx:latest：stable 标签跟小版本号（1.22、1.24 等），latest 偶尔会跳大版本。

1.2 配置持久化

生产环境必须挂载配置和静态文件：

1
2
3
4
5
6
7


docker run -d --name nginx --restart=always -p 80:80 \
 -v /home/nginx/logs:/var/log/nginx \
 -v /home/nginx/conf/conf.d:/etc/nginx/conf.d \
 -v /home/nginx/conf/nginx.conf:/etc/nginx/nginx.conf:ro \
 -v /home/nginx/dist:/usr/share/nginx/html \
 -v /etc/localtime:/etc/localtime:ro \
 nginx:stable

或者 host 网络模式（适合内网用 80 端口）：

1
2
3
4
5
6


docker run -d --name nginx --restart=always --net=host \
 -v /home/docker/nginx/log:/var/log/nginx \
 -v /home/docker/nginx/conf/conf.d:/etc/nginx/conf.d \
 -v /home/docker/nginx/conf/stream:/etc/nginx/stream \
 -v /home/docker/nginx/conf/nginx.conf:/etc/nginx/nginx.conf:ro \
 nginx:stable

1.3 Alpine 版（更小）

1
2
3
4
5
6
7


docker run -d --name nginx --restart=always -p 80:80 \
 -v /home/nginx/logs:/var/log/nginx \
 -v /home/nginx/conf/conf.d:/etc/nginx/conf.d \
 -v /home/nginx/conf/nginx.conf:/etc/nginx/nginx.conf:ro \
 -v /home/nginx/dist:/usr/share/nginx/html \
 -v /etc/localtime:/etc/localtime:ro \
 nginx:1.25-alpine

Alpine 版镜像只有 40MB 左右，但没有预装 shell 和常用工具（wget/curl/vi），排查问题时进容器会比较痛苦。

二、生产级 nginx.conf

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71


user root;
worker_processes 1; # 推荐设为 CPU 核心数

error_log /var/log/nginx/error.log warn;
pid /var/run/nginx.pid;

events {
 worker_connections 1024;
}

http {
 include /etc/nginx/mime.types;
 default_type application/octet-stream;

 log_format main '$remote_addr - $remote_user [$time_local] "$request" '
 '$status $body_bytes_sent "$http_referer" '
 '"$http_user_agent" "$http_x_forwarded_for"';

 access_log /var/log/nginx/access.log main;

 sendfile on;
 keepalive_timeout 65;

 autoindex on;

 # ===== gzip 优化 =====
 gzip on;
 gzip_buffers 32 4K;
 gzip_comp_level 6;
 gzip_min_length 1k;
 gzip_types application/javascript text/css text/xml;
 gzip_disable "MSIE [1-6]\.";
 gzip_http_version 1.1;
 gzip_vary on;

 # ===== 客户端 body/header buffer（上传大文件必须调）=====
 client_body_buffer_size 1024k;
 client_max_body_size 2048m;

 client_header_buffer_size 128k;
 large_client_header_buffers 4 128k;

 # ===== 代理 buffer =====
 proxy_buffer_size 256k;
 proxy_buffering on;
 proxy_buffers 64 128k;
 proxy_busy_buffers_size 512k;

 # ===== FastCGI buffer =====
 fastcgi_buffers 6 512k;
 fastcgi_buffer_size 512k;
 fastcgi_busy_buffers_size 512k;
 fastcgi_temp_file_write_size 512k;
 fastcgi_intercept_errors on;

 # ===== WebSocket 关键配置（http 段顶层）=====
 map $http_upgrade $connection_upgrade {
 default upgrade;
 '' close;
 }

 include /etc/nginx/conf.d/*.conf;
}

# ===== TCP/UDP 4 层转发（可选）=====
stream {
 log_format proxy '[$time_local] $protocol status:$status, bytes client:$bytes_sent/$bytes_received $session_time, '
 'client: $remote_addr, upstream:"$upstream_addr", '
 'bytes upstream:$upstream_bytes_sent $upstream_bytes_received $upstream_connect_time';
 include /etc/nginx/stream/*.conf;
}

关键参数解读：

client_max_body_size 2048m：上传文件超过默认 1M 会 413，调大

client_header_buffer_size 128k：HTTP header 单行超过 1k 会 400，调大

proxy_buffer_size / proxy_buffers：调大避免后端响应一次性写入临时文件

map $http_upgrade $connection_upgrade：WebSocket 反代必须，否则 426 错误

三、HTTPS + 自动跳转

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26


server {
 listen 443 ssl;
 server_name example.com;

 ssl_certificate /www/server/panel/vhost/cert/example.com/fullchain.pem;
 ssl_certificate_key /www/server/panel/vhost/cert/example.com/privkey.pem;
 ssl_protocols TLSv1 TLSv1.1 TLSv1.2 TLSv1.3;

 charset utf-8;

 location / {
 proxy_pass http://localhost:9000;
 proxy_redirect http:// https://;
 proxy_set_header Host $http_host;
 }
}

server {
 listen 80;
 server_name example.com;

 # HTTP 自动跳 HTTPS
 if ($scheme = http) {
 return 301 https://$host:443$request_uri;
 }
}

证书路径：生产环境用 certbot / acme.sh 自动签发 Let’s Encrypt 证书，定时续期。

四、反向代理 + WebSocket

WebSocket 反代必须带 Upgrade 和 Connection: upgrade 头：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15


location ^~ /ws/ {
 proxy_pass http://{{BACKEND_HOST}}/ws/;
 proxy_http_version 1.1;
 proxy_read_timeout 300s;
 proxy_send_timeout 300s;

 proxy_set_header Host $http_host;
 proxy_set_header X-Real-IP $remote_addr;
 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
 proxy_set_header X-Forwarded-Proto $scheme;

 # WebSocket 关键
 proxy_set_header Upgrade $http_upgrade;
 proxy_set_header Connection $connection_upgrade;
}

$connection_upgrade 由前面 map 指令定义，根据客户端 Upgrade 头动态返回 upgrade 或 close。如果忘了配 map，WebSocket 连接会被 nginx 关闭。

五、MinIO 网关示例

MinIO 经常用 Nginx 做反代，重点是 WebSocket（控制台实时通知）+ 大文件上传：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15


location ^~ /minio/ {
 proxy_pass http://localhost:9090/;
 proxy_read_timeout 300s;
 proxy_send_timeout 300s;

 proxy_set_header Host $http_host;
 proxy_set_header X-Real-IP $remote_addr;
 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
 proxy_set_header X-Forwarded-Proto $scheme;
 proxy_http_version 1.1;

 # WebSocket
 proxy_set_header Upgrade $http_upgrade;
 proxy_set_header Connection $connection_upgrade;
}

MINIO_BROWSER_REDIRECT_URL 必须配成 Nginx 转发后的地址，否则 MinIO 控制台会 404：

1
2


environment:
 - MINIO_BROWSER_REDIRECT_URL=http://{{NGINX_HOST}}/minio

六、踩坑清单

WebSocket 426/断开——忘了 map $connection_upgrade，或者 location 段漏 Upgrade 头
上传 413——client_max_body_size 默认 1M，调成业务需要的最大值
Header 400——client_header_buffer_size 默认 1k，Cookie 巨长的请求会超
代理慢/卡顿——proxy_buffer_size 太小，后端响应被频繁写入临时文件
gzip 没生效——gzip_types 漏了类型，或者 gzip_min_length 设太大（小文件不压缩）
配置改完没生效——nginx -s reload 失败（语法错），需要 docker logs nginx 查原因
HTTPS 跳不过来——return 301 写在 location / 里而不是 server 顶层
跨域 CORS——后端没设 CORS 头，Nginx 要么 add_header 加，要么在 if 段处理 OPTIONS 预检

七、2024+ 视角补充

本文写于 2022-04，2024-2026 期间 Nginx 关键演进：

Nginx 1.25+（2023-06 起）：HTTP/3 (QUIC) 实验性支持；gRPC 代理原生；动态 SSL 证书加载（不用 reload）
Nginx 1.27 LTS（2024-11）：HTTP/3 默认开；OpenSSL 3.x 兼容；更精细的限流（limit_req_dry_run 等）
Nginx Ingress 1.10+（K8s）：Gateway API 全面支持（vs 老 Ingress API）；IPV6 双栈
Nginx Unit 1.32+：应用服务器模式（跑 Go / Node / Python / Java / PHP / Perl）——Web 服务器 + 应用服务器一体
OpenResty 1.25+：Lua 生态成熟，WAF / API Gateway 场景仍是首选
替代品（2024+ 视角）：
- Caddy 2.x：自动 HTTPS / Caddyfile 简洁 / Go 跨平台——新项目首选
- Traefik 3.x：K8s 原生 / 自动服务发现 / Let’s Encrypt 自动化
- HAProxy 3.0+：四层代理性能优于 Nginx，数据库 / TCP 代理首选
- Envoy 1.32+：Service Mesh 标配（Istio / Consul / Linkerd）

实战建议（2025-2026 视角）：

传统 Web 反代 / 静态站 → Nginx 1.27 LTS 仍是生产首选
K8s 入口 → Nginx Ingress 1.10+ / Traefik 3.x / Gateway API
数据库 / TCP 代理 → HAProxy 3.0+（性能与功能强于 Nginx stream）
新项目想要最少配置 → Caddy 2.x（HTTPS 配置从 30 行降到 3 行）

八、参考资料

Nginx 官方文档：http://nginx.org/en/docs/
Nginx 反向代理 WebSocket：https://nginx.org/en/docs/http/websocket.html
Mozilla SSL 配置生成器：https://ssl-config.mozilla.org/

下一步

想做安全网关？→ Vaultwarden 自托管密码一文（也用 Nginx 反代）
想做企业 VPN？→ OpenVPN 自建 VPN 服务一文
想用 K8s Ingress？→ 看 K8s 集群流量入口 Ingress-nginx 一文

Java 应用 Docker 化：Tomcat / Spring Boot 打包 + HTTPS / 时区 / 字体坑

Sat, 15 Dec 2018 00:00:00 +0800

Java 应用的 Docker 化比 Go / Node 麻烦得多——JVM、字体、时区、HTTPS 证书、Tomcat 配置每一个都是坑。本篇把"从 Spring Boot fat jar 到可生产的 Java 容器"完整流程整理清楚。

阅读对象：Java 后端 / 运维工程师 覆盖范围：Tomcat 镜像选型 + Spring Boot fat jar 打包 + anapsix/alpine-java 镜像使用 + HTTPS 证书导入 + 时区 / 中文乱码 / 字体 / DNS 解决 + 镜像瘦身 + 完整 docker-compose 部署

一、Java 容器化三大流派

1.1 流派对比

方案	镜像	体积	启动速度	适用
完整 JDK	`openjdk:8`	~ 800 MB	慢	需要 javac
JRE only	`openjdk:8-jre-slim`	~ 250 MB	中	生产应用
Alpine JRE	`anapsix/alpine-java:8u201b09_server-jre_nashorn`	~ 150 MB	快	生产首选
Native（GraalVM）	`ghcr.io/graalvm/native-image`	~ 50 MB	极快	性能要求高

默认推荐 anapsix/alpine-java——体积小、glibc 兼容好、社区维护。

1.2 为什么需要 alpine

alpine 镜像小 5x（musl libc vs glibc）
冷启动快：JVM 加载速度快 30%+
CVE 少：alpine 包更新频繁，CVE 修复更及时

二、Tomcat 镜像

2.1 官方 Tomcat 镜像

1
2
3
4
5


docker pull tomcat:8.5
docker run -d -p 8098:8080 \
 -v /data/my_tomcat_3/webapps:/usr/local/tomcat/webapps \
 --name my_tomcat_3 \
 tomcat:8.5

2.2 自建 Tomcat 镜像

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17


# 1. 准备目录
mkdir tomcat_web && cd tomcat_web
touch Dockerfile start.sh

# 2. Dockerfile
cat > Dockerfile <<'EOF'
FROM tomcat:8.5
ADD ./webapps /usr/local/tomcat/webapps
CMD ["catalina.sh", "run"]
EOF

# 3. 构建
docker build -t tomcat_web:v2 .

# 4. 保存 / 加载（离线分发）
docker save -o tomcat_web.tar.gz tomcat_web:v2
docker load -i tomcat_web.tar.gz

2.3 完整 Tomcat 部署示例

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


# 创建工作目录
mkdir -p /home/epadmZZ && cd /home/epadmZZ
touch server.xml
mkdir logs ROOT

# 部署容器
docker run -tid --restart=always --name epadmZZ \
 -p 28081:8080 \
 -v /home/project/epadmZZ/:/Webs \
 -v /etc/localtime:/etc/localtime \
 -m 2048m --memory-swap=2048m --cpu-shares=256 \
 tomcat_web:v2 start.sh run -config /Webs/server.xml

关键参数：

-m 2048m --memory-swap=2048m：内存硬限——避免 OOM 影响宿主机
--cpu-shares 256：CPU 权重（默认 1024，相对值）
-v /etc/localtime:/etc/localtime：时区同步

三、Spring Boot fat jar 容器化

3.1 构建 Spring Boot 应用

1
2


mvn clean package
# 生成 target/myapp-1.0.0.jar

3.2 最小化 Dockerfile

1
2
3
4
5


FROM anapsix/alpine-java:8u201b09_server-jre_nashorn
VOLUME /tmp
ADD myapp-1.0.0.jar /app.jar
EXPOSE 8080
ENTRYPOINT ["java", "-jar", "/app.jar"]

3.3 启动参数注入

1
2
3
4
5
6
7
8


# 普通启动
docker run -d --restart=always \
 --name myapp \
 -p 8080:8080 \
 -v /home/project/myapp:/jar \
 -v /etc/localtime:/etc/localtime \
 anapsix/alpine-java:8u201b09_server-jre_nashorn \
 java -jar -Duser.timezone=GMT+08 /jar/myapp-1.0.0.jar

多端口 + 特殊权限（IoT 项目）：

1
2
3
4
5
6
7
8
9


docker run -d --restart=always \
 -v /home/project/iot:/jar \
 -v /home/project/iot/logs:/kde-iot-log \
 -v /etc/localtime:/etc/localtime \
 -p 8080:8080 -p 443:443 -p 18888:18888 \
 --net mynetwork --ip 172.18.0.5 \
 --privileged=true \
 --name iot anapsix/alpine-java:8u201b09_server-jre_nashorn \
 java -jar -Duser.timezone=GMT+08 /jar/iot-0.0.1-SNAPSHOT.jar

3.4 JVM 参数调优

1
2
3
4
5
6
7


docker run -d \
 -e JAVA_OPTS="-Xms2g -Xmx2g -Xmn1g -Xss1m \
 -XX:SurvivorRatio=8 \
 -XX:MetaspaceSize=256m \
 -XX:MaxMetaspaceSize=256m \
 -XX:NativeMemoryTracking=detail" \
 myapp:latest

容器内 JVM 调优要点：

JVM 看到的 CPU 数可能与宿主机不同——加 -XX:+UseContainerSupport（Java 10+）
JVM 看到的内存可能不准——加 -XX:MaxRAMPercentage=75.0
容器感知：java -XX:+PrintFlagsFinal -version | grep UseContainerSupport

1

ENV JAVA_OPTS="-XX:+UseContainerSupport -XX:MaxRAMPercentage=75.0 -XX:+PrintFlagsFinal"

四、HTTPS 证书导入

4.1 场景

小程序后台 + 数据接收 + 第三方 HTTPS 对接——需要 SSL 证书。

4.2 阿里云免费证书申请

1
2
3
4


1. 阿里云控制台 → SSL 证书 → 购买证书
2. 选择：单域名 / DV SSL / 免费版 / DigiCert
3. 域名验证（DNS 解析添加 TXT 记录）
4. 下载证书：Tomcat 类型（.pfx + password.txt）

4.3 PFX → JKS 转换

容器内 Java 用 JKS 格式：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


# 1. 进入 JDK 容器
docker exec -it myapp bash

# 2. 找 keytool
which keytool
# /usr/lib/jvm/default-jvm/bin/keytool

# 3. 转换 PFX → JKS
keytool -importkeystore \
 -srckeystore /path/to/xxx.pfx \
 -destkeystore /app/wx.jks \
 -srcstoretype PKCS12 \
 -deststoretype JKS

# 4. 输入 PFX 密码（password.txt 中的密码）
# 5. 记好 alias（jks 文件别名）

4.4 挂载到容器

1
2
3


docker run -d \
 -v /home/project/wx.jks:/app/wx.jks \
 myapp:latest

4.5 Spring Boot 配置

1
2
3
4
5
6
7


server:
 port: 443
 ssl:
 key-store: classpath:wx.jks
 key-store-password: {{JKS_PASS}}
 key-store-type: JKS
 key-alias: alias

4.6 强制 HTTPS

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34


@SpringBootApplication
public class Application {

 @Bean
 public TomcatServletWebServerFactory servletContainer() {
 TomcatServletWebServerFactory tomcat = new TomcatServletWebServerFactory() {
 @Override
 protected void postProcessContext(Context context) {
 SecurityConstraint constraint = new SecurityConstraint();
 constraint.setUserConstraint("CONFIDENTIAL");
 SecurityCollection collection = new SecurityCollection();
 collection.addPattern("/*");
 constraint.addCollection(collection);
 context.addConstraint(constraint);
 }
 };
 tomcat.addAdditionalTomcatConnectors(httpConnector());
 return tomcat;
 }

 @Bean
 public Connector httpConnector() {
 Connector connector = new Connector("org.apache.coyote.http11.Http11NioProtocol");
 connector.setScheme("http");
 connector.setPort(8080);
 connector.setSecure(false);
 connector.setRedirectPort(443);
 return connector;
 }

 public static void main(String[] args) {
 SpringApplication.run(Application.class, args);
 }
}

效果：

80 / 8080 收到请求 → 自动 302 重定向到 443
443 走 HTTPS

五、时区问题

5.1 三种方法

方法 A：挂载宿主机时区（最简单）

1

docker run -v /etc/localtime:/etc/localtime:ro ...

方法 B：环境变量 TZ（Java 8u72+）

1

docker run -e TZ=Asia/Shanghai ...

方法 C：JVM 参数

1

java -Duser.timezone=GMT+08 -jar app.jar

生产推荐 A + B 一起用。

5.2 容器内修改

1
2
3
4
5
6


# 进入容器
docker exec -it 2c87bcc41378 /bin/bash

# 拷贝时区文件
cp /usr/share/zoneinfo/Asia/Shanghai /etc/localtime
echo "Asia/Shanghai" > /etc/timezone

alpine 镜像特殊处理：

1
2
3


RUN apk add --no-cache tzdata \
 && ln -sf /usr/share/zoneinfo/Asia/Shanghai /etc/localtime \
 && echo "Asia/Shanghai" > /etc/timezone

六、中文乱码

6.1 三处必设

Dockerfile / 启动参数：

1
2
3
4
5


java -Dfile.encoding=UTF-8 \
 -Dsun.jnu.encoding=UTF-8 \
 -Duser.language=zh \
 -Duser.country=CN \
 -jar app.jar

MySQL 连接串：

1
2
3


spring:
 datasource:
 url: jdbc:mysql://10.0.1.1:3306/mydb?useUnicode=true&characterEncoding=UTF-8

Linux locale（容器内）：

1
2
3
4
5
6
7


docker exec -it myapp locale
# 看到 POSIX / C 是错的

# 设置
docker exec -it myapp bash
localedef -i en_US -f UTF-8 en_US.UTF-8
export LANG=en_US.UTF-8

根治：

1
2


ENV LANG=C.UTF-8
ENV LC_ALL=C.UTF-8

七、字体问题

7.1 症状

Java 应用：

导出 PDF 中文变方块
生成图形验证码 OOM
POI 操作 Excel 报错

原因：JDK 本身不带字体，alpine / slim 镜像里 fontconfig 也没装。

7.2 修复

Debian / Ubuntu 基础：

1

RUN apt-get update && apt-get install -y fontconfig

Alpine 基础（alpine 3.15+ 必需）：

1

RUN apk add --no-cache fontconfig

完整中文字体（把 Windows 字体拷进容器）：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


# 1. 宿主机准备字体目录
mkdir -p /home/fonts

# 2. 从 Windows 拷贝
# C:\Windows\Fonts\msyh.ttc (微软雅黑)
# C:\Windows\Fonts\simfang.ttf (仿宋)
# C:\Windows\Fonts\simhei.ttf (黑体)
# C:\Windows\Fonts\simsun.ttc (宋体)

# 3. 挂载到容器
docker run \
 -v /home/fonts:/usr/share/fonts/win \
 ...

容器内更新字体缓存：

1
2
3


docker exec -it myapp bash
fc-cache -fv
fc-list :lang=zh

7.3 Spring Boot PDF 字体

1
2
3
4
5
6
7
8
9


@Bean
public PdfReportFontConfig pdfFontConfig() {
 return new PdfReportFontConfig() {
 @Override
 public String getFontFile() {
 return "/usr/share/fonts/win/msyh.ttc";
 }
 };
}

八、容器化常用工具

8.1 必备工具清单

1
2
3
4
5


# Alpine 镜像（最小化，几乎啥都没有）
apk add --no-cache curl wget iputils-ping iproute2 bash vim fontconfig tzdata

# Debian 镜像
apt-get install -y curl wget iputils-ping iproute2 vim fontconfig dnsutils

8.2 容器内调试

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


# 进容器
docker exec -it myapp bash

# 看进程
ps -ef
ps aux

# 看端口
netstat -tnlp # alpine: apk add net-tools
ss -tnlp # 通用

# 看内存
free -h

九、DNS 问题

症状：容器内 ping internal.example.com 失败。

修复：

1
2
3
4
5
6
7
8
9


# 1. 修改 docker daemon DNS
vim /etc/docker/daemon.json
{
 "dns": ["114.114.114.114", "8.8.8.8"]
}
systemctl restart docker

# 2. 或容器内指定
docker run --dns 114.114.114.114 --dns 8.8.8.8 ...

十、镜像瘦身

10.1 多阶段构建

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


# 阶段 1：编译
FROM maven:3.9-eclipse-temurin-17 AS build
COPY pom.xml .
RUN mvn dependency:go-offline
COPY src ./src
RUN mvn clean package -DskipTests

# 阶段 2：运行时
FROM anapsix/alpine-java:8u201b09_server-jre_nashorn
COPY --from=build /target/myapp-1.0.0.jar /app.jar
EXPOSE 8080
ENTRYPOINT ["java", "-jar", "/app.jar"]

效果：编译镜像 ~ 800MB，运行时镜像 ~ 150MB。

10.2 清理缓存

1
2


RUN apt-get update && apt-get install -y fontconfig \
 && rm -rf /var/lib/apt/lists/* # 必须清！

10.3 JLink 定制 JRE

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


# 用 jlink 裁剪 JDK（Java 9+）
jlink \
 --module-path $JAVA_HOME/jmods \
 --add-modules java.base,java.logging,java.sql,java.naming,java.management,java.security.jgss,java.desktop \
 --output /opt/jre-mini \
 --strip-debug --no-man-pages --compress=2

# 用自定义 JRE 做基础镜像
FROM scratch
COPY --from=builder /opt/jre-mini /opt/jre
ENV JAVA_HOME=/opt/jre
ENV PATH=$JAVA_HOME/bin:$PATH

效果：JRE 50MB 级别。

十一、完整生产 Dockerfile

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36


# 阶段 1：构建
FROM maven:3.9-eclipse-temurin-17 AS build
WORKDIR /build
COPY pom.xml .
RUN mvn dependency:go-offline -B
COPY src ./src
RUN mvn clean package -DskipTests

# 阶段 2：运行时
FROM anapsix/alpine-java:8u201b09_server-jre_nashorn

# 必备工具
RUN apk add --no-cache \
 fontconfig \
 tzdata \
 tini \
 && cp /usr/share/zoneinfo/Asia/Shanghai /etc/localtime \
 && echo "Asia/Shanghai" > /etc/timezone \
 && fc-cache -fv

# JVM 容器感知
ENV JAVA_OPTS="-XX:+UseContainerSupport -XX:MaxRAMPercentage=75.0 -XX:+ExitOnOutOfMemoryError"

# 中文环境
ENV LANG=C.UTF-8 \
 LC_ALL=C.UTF-8 \
 TZ=Asia/Shanghai

WORKDIR /app
COPY --from=build /build/target/*.jar /app/app.jar

# 暴露端口
EXPOSE 8080

# tinit 收僵尸进程
ENTRYPOINT ["/sbin/tini", "--", "sh", "-c", "exec java $JAVA_OPTS -jar /app/app.jar"]

十二、典型坑位

12.1 容器里 `ping` 找不到

1

RUN apt-get install -y iputils-ping

12.2 容器里 `curl` / `wget` 找不到

1

RUN apt-get install -y curl wget

12.3 catalina.out 无限膨胀

1
2
3
4


# 清空
cat /dev/null > /opt/sxt/logs/catalina.out

# 配置 logrotate

12.4 DNS 解析失败

1
2


# 容器内
docker run --dns 114.114.114.114 ...

12.5 内存超限被 OOM

1
2
3
4
5


# 加硬限
docker run -m 2g --memory-swap=2g ...

# JVM 也限
java -Xmx1500m ...

十三、生产部署清单

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22


# 1. 构建
docker build -t myapp:20240315 .

# 2. 保存离线
docker save -o myapp.tar.gz myapp:20240315

# 3. 推 Harbor
docker push myapp.example.com/library/myapp:20240315

# 4. 部署
docker run -d --restart=always \
 --name myapp \
 --net=mynetwork \
 -p 8080:8080 \
 -v /home/myapp/logs:/app/logs \
 -v /home/myapp/config:/app/config \
 -v /etc/localtime:/etc/localtime:ro \
 -m 2g --memory-swap=2g \
 myapp.example.com/library/myapp:20240315

# 5. 接入日志
docker logs -f myapp 2>&1 | tee -a /var/log/myapp/app.log

十四、最佳实践清单

JRE 镜像而非 JDK（生产不需要 javac）
anapsix/alpine-java 默认推荐（社区维护 + glibc 兼容）
-XX:+UseContainerSupport JVM 容器感知
-XX:MaxRAMPercentage=75.0 内存自适应
-XX:+ExitOnOutOfMemoryError OOM 退出（让编排系统重启）
tini 收僵尸进程（Java 不会自动 reap）
LANG=C.UTF-8 + 字体 解决中文乱码
/etc/localtime 挂载 解决时区
-m 2g --memory-swap=2g 硬限内存
多阶段构建 镜像瘦身

2024+ 视角补充

本文写于 2018-12，2024-2026 期间 Java 应用容器化关键演进：

JDK 17 / 21 主流化：JDK 8 官方支持 2024-03 已结束（最后 LTS）——新项目必须 JDK 17 或 21；JDK 21（2023-09 LTS，支持到 2031）已成 2024+ 主流
Spring Boot 3.2+ 全面 Jakarta EE：从 javax.* 迁移到 jakarta.*——Tomcat 10+ 是默认；JDK 17 最低要求
Spring Boot 3.4+（2025）：Virtual Threads（虚拟线程）默认集成——JDK 21 协程天然适配
GraalVM Native Image 1.0+（2024-2026）：Spring Boot 3.x 官方支持——spring-boot:build-image 直接生成 native 可执行文件，启动 < 100ms，内存 < 100MB
CRaC（Coordinated Restore at Checkpoint）：OpenJDK 17+ 实验，JVM 启动 < 10ms——Serverless / K8s 冷启动杀手
容器镜像生态：
- Eclipse Temurin（2024-2026）：前 Adoptium，JDK 21 主流发行版——OpenJDK + 商业支持
- BellSoft Liberica JDK（2024-2026）：Native Image Kit + Alpine glibc 兼容——容器首选
- Azul Zulu Prime（2024-2026）：C4 Pauseless GC——延迟敏感场景
- Amazon Corretto（2024-2026）：AWS 维护，生产级 LTS
多阶段构建 已成 Java 容器化标准
JLink 定制 JRE：50MB 级别运行时镜像

实战建议（2025-2026 视角）：

新项目 → JDK 21 LTS + Spring Boot 3.4+ + GraalVM Native Image（Serverless / 冷启动敏感场景）
存量项目 → 升 JDK 17 LTS（避免 JDK 8 / 11 停服）→ 再逐步升 21
Serverless / K8s 冷启动 → GraalVM Native Image 或 CRaC
基础镜像：BellSoft Liberica JDK 21 是 2024+ 容器首选

下一步

想看 JDK 自建镜像实战（Debian / Ubuntu / Alpine 三大流派）→ JDK 自建镜像实战
想看 Nginx 自建镜像实战（前端 dist / 反代）→ Nginx 自建镜像实战
想看 Java 微服务治理（Sentinel 限流 / Spring Boot Admin）→ Java 微服务治理
想看 XXL-Job 分布式调度（任务调度平台）→ XXL-Job 分布式调度

CentOS 7 全面实战：阿里源、Docker、Harbor 与 Nginx+Let's Encrypt

Tue, 15 Sep 2015 00:00:00 +0800

一、为什么 2015 年要写这份"一站式"

2015 年的 CentOS 7 服务器基本就是"yum 源 + Docker + Web 服务"三件套。本篇把三个场景串成一篇深度文——从国内 yum 源选择、装 Docker CE、起 Harbor 私有仓库，到 Docker 化部署 Nginx + 申请 Let’s Encrypt 免费证书并自动续期。每个环节的坑都标出来了。

本文写于 2015-09-15。Let’s Encrypt 2015-09-14 进入公开 beta，2016-04 正式 GA，本文示例贴近 Let’s Encrypt 早期生态。CentOS 7 已 2024-06-30 进入 ELS 阶段，新机器建议直接 Rocky / Alma 9。

二、国内 yum 源选择

CentOS 7 装好后第一件事就是换源——官方源国内外都慢，国内服务器一定要换。常见选择：

源	特点
阿里云 `mirrors.aliyun.com/repo/Centos-7.repo`	同步快、稳定、企业用得多
网易 163 `mirrors.163.com/.help/CentOS7-Base-163.repo`	老牌、文档多
中科大 USTC	高校机房友好
清华 TUNA	高校机房友好

阿里云（企业最常见）：

1
2
3
4


mv /etc/yum.repos.d/CentOS-Base.repo /etc/yum.repos.d/CentOS-Base.repo.bak
curl -o /etc/yum.repos.d/CentOS-Base.repo https://mirrors.aliyun.com/repo/Centos-7.repo
yum clean all && yum makecache
yum update

装 EPEL 源（很多 Python 包靠它）：

1

yum install -y epel-release

三、Docker CE 安装

3.1 卸载旧版

1
2
3
4
5
6
7
8


sudo yum remove docker \
 docker-client \
 docker-client-latest \
 docker-common \
 docker-latest \
 docker-latest-logrotate \
 docker-logrotate \
 docker-engine

注意：/var/lib/docker 目录（镜像、容器、卷、网络）默认不会删，重装后数据还在。

3.2 走官方 yum 源

1
2
3


sudo yum install -y yum-utils device-mapper-persistent-data lvm2
sudo yum-config-manager --add-repo https://download.docker.com/linux/centos/docker-ce.repo
sudo yum install docker-ce

想装指定老版本：

1
2


yum list docker-ce --showduplicates | sort -r
sudo yum install docker-ce-18.09.1

3.3 走 get.docker.com 一键脚本

2015-2017 社区更常用：

1
2
3


curl -sSL https://get.docker.com/ | sh
systemctl start docker
systemctl enable docker

3.4 加 docker 用户组

1
2


sudo usermod -aG docker <your-user>
# 重新登录生效

3.5 验证

1

sudo docker run hello-world

四、配置阿里云 Docker 镜像加速

DockerHub 拉镜像国内极慢，必须配镜像加速器。2015-2016 年用得最多的是 daocloud.io：

1
2
3
4
5
6
7
8
9


mkdir -p /etc/docker
tee /etc/docker/daemon.json <<-'EOF'
{
 "registry-mirrors": ["http://f1361db2.m.daocloud.io"],
 "insecure-registries": []
}
EOF
systemctl daemon-reload
systemctl restart docker

多镜像源写法（2020+ 推荐）：

1
2
3
4
5
6
7


{
 "registry-mirrors": [
 "https://mirror.ccs.tencentyun.com",
 "https://docker.mirrors.ustc.edu.cn"
 ],
 "insecure-registries": ["<your-private-registry>:5000"]
}

验证是否生效：

1
2


ps -ef | grep docker
# 命令行里看到 --registry-mirror=... 就对了

五、装 docker-compose

5.1 早期：pip 装（2015-2017）

1
2


yum install -y python-pip
pip install docker-compose

5.2 中期：二进制直装

1
2
3
4


curl -L "https://github.com/docker/compose/releases/download/1.25.0/docker-compose-$(uname -s)-$(uname -m)" \
 -o /usr/local/bin/docker-compose
chmod +x /usr/local/bin/docker-compose
docker-compose version

5.3 2020+：Docker CLI plugin

1
2
3
4
5
6


# Compose v2
mkdir -p ~/.docker/cli-plugins
curl -SL https://github.com/docker/compose/releases/download/v2.23.3/docker-compose-linux-x86_64 \
 -o ~/.docker/cli-plugins/docker-compose
chmod +x ~/.docker/cli-plugins/docker-compose
docker compose version

六、Harbor 私有仓库

Harbor 是 VMware 开源的镜像仓库（2016-03 第一个 release），到 2017-2018 年成为国内事实标准。2017-2019 期间安装用 离线包最稳：

6.1 下载离线安装包

1
2
3


wget https://github.com/vmware/harbor/releases/download/v1.9.1/harbor-offline-installer-v1.9.1.tgz
tar -xvf harbor-offline-installer-v1.9.1.tgz
cd harbor

6.2 改配置

1
2
3
4
5
6


vim harbor.yml

hostname: <your-registry-ip-or-domain> # 例: 192.168.6.128
http:
 port: 28083
harbor_admin_password: <your-admin-pass>

6.3 装 + 启

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


./install.sh

# 启停
docker-compose stop
docker-compose start

# 改完配置要重生效
docker-compose down -v
vim harbor.yml
./prepare
docker-compose up -d

# 推镜像
docker login <your-registry-ip>:28083
docker tag alpine <your-registry-ip>:28083/dev/alpine:3.10.3
docker push <your-registry-ip>:28083/dev/alpine:3.10.3

6.4 默认凭据

admin 账号：admin / Harbor12345（生产环境一定要改）
db_auth PostgreSQL root：root123（同上）

七、Docker 容器日志切割

不切日志，/var/lib/docker/containers/ 下的 *-json.log 可以把磁盘塞满：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


# /etc/docker/daemon.json
{
 "log-driver": "json-file",
 "log-opts": {
 "max-size": "500m",
 "max-file": "3"
 }
}
systemctl daemon-reload
systemctl restart docker

坑提醒：只对新建容器生效，老容器需要 docker rm 后重建。

清空单个容器日志：

1

truncate -s 0 /var/lib/docker/containers/<container-id>/*-json.log

八、Nginx + Let’s Encrypt 免费证书

Let’s Encrypt 2015-09-14 公开 beta、2016-04 正式 GA，把免费 HTTPS 证书从"程序员折腾"变成了"运维 5 分钟"。证书有效期 90 天，必须用 certbot renew 自动续期。

8.1 安装 certbot

1
2


yum install -y epel-release
yum install -y certbot

8.2 申请证书（webroot 方式）

要求域名已经解析到本机：

1
2
3
4
5


certbot certonly --webroot \
 -w /var/www/html \
 -d mydemo.com \
 -m <your-email> \
 --agree-tos

成功后证书在：

1
2
3
4
5


/etc/letsencrypt/live/mydemo.com/
├── cert.pem # 用户证书
├── chain.pem # 中间证书
├── fullchain.pem # cert + chain
└── privkey.pem # 私钥

8.3 查有效期

1
2
3


openssl x509 -noout -dates -in /etc/letsencrypt/live/mydemo.com/cert.pem
# notBefore=...
# notAfter=...

8.4 配合 Docker Nginx

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14


# docker-compose.yml
services:
 nginx:
 image: nginx
 container_name: nginx
 ports:
 - "80:80"
 - "443:443"
 volumes:
 - /var/www/html:/usr/share/nginx/html:ro
 - /webser/etc/nginx:/etc/nginx/conf.d
 - /webser/logs/nginx:/var/log/nginx
 - /etc/ssl:/etc/ssl
 - /etc/letsencrypt:/etc/letsencrypt

8.5 Nginx 配置

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21


server {
 listen 443 ssl http2;
 server_name mydemo.com;

 ssl_certificate /etc/letsencrypt/live/mydemo.com/fullchain.pem;
 ssl_certificate_key /etc/letsencrypt/live/mydemo.com/privkey.pem;

 ssl_session_timeout 1d;
 ssl_session_cache shared:SSL:50m;
 ssl_session_tickets on;

 # 前向保密（PFS）参数
 ssl_dhparam /etc/ssl/private/dhparam.pem;

 ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
 ssl_ciphers 'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:...:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK';
 ssl_prefer_server_ciphers on;

 root /usr/share/nginx/html;
 index index.html;
}

dhparam.pem 生成（一次性，2-3 分钟）：

1
2


mkdir -p /etc/ssl/private
openssl dhparam 2048 -out /etc/ssl/private/dhparam.pem

8.6 自动续期 crontab

1
2
3
4


crontab -e

# 每月 1 号 05:00 续期 + 重启 nginx
00 05 01 * * /usr/bin/certbot renew --quiet && docker restart nginx

坑提醒：续期时网站必须能访问到 /.well-known/acme-challenge/——也就是说 HTTP 80 端口必须能从公网访问到 webroot。

九、Docker 存储路径搬家

/var/lib/docker 默认在根盘，根盘很容易塞满：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15


systemctl stop docker
mkdir -p /home/docker

vim /usr/lib/systemd/system/docker.service
# ExecStart=/usr/bin/dockerd \
# --graph=/home/docker \ # Docker 17.05+ 推荐 data-root
# -H fd:// \
# --containerd=/run/containerd/containerd.sock

systemctl disable docker
systemctl enable docker
systemctl daemon-reload
systemctl start docker
docker info | grep "Docker Root Dir"
# Docker Root Dir: /home/docker

17.05+ 推荐用 data-root 而不是 --graph，后者已 deprecated。

十、磁盘空间排查速查

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


# 全局
df -h

# 各目录占用
du -sh /*

# 当前目录前 10 大
du -hd 1 | sort -hr | head

# 删除 7 天前的文件
find ./ -mtime +7 | xargs rm -rf

生产环境慎用 rm -rf / 这类命令——本文示例中所有路径都加了具体子目录，是基本的安全习惯。

十一、典型坑速查

现象	原因	处理
`docker run` 报 “Cannot connect to the Docker daemon”	daemon 没启 / 装完没 reload	`systemctl daemon-reload && systemctl restart docker`
拉镜像超慢	没配镜像加速	改 `/etc/docker/daemon.json` 的 `registry-mirrors`
`docker-compose` 命令找不到	只装了 docker，没装 compose	走 §5 装 compose
容器日志把磁盘塞满	没切日志大小	改 `daemon.json` 的 `log-opts`
Let’s Encrypt 续期失败	80 端口被占 / 域名解析不到	`certbot renew --dry-run` 模拟一次排查
Harbor 装完访问 502	端口冲突 / yml 改完没 `prepare`	改完 yml 必跑 `./prepare`

十二、下一步

想把 Harbor 升级到 v2.x → 见 Harbor 升级文档，先备份 /data/database 再升级
想换 SSL 自动化方案（acme.sh / Caddy） → 见 2017-09-15 CentOS 7 开发环境
想上 Kubernetes → 走 kubeadm，先关 swap（见 2012-12-15 CentOS 7 早期实践）
不想自己维护 Harbor → 换 Docker Hub Pro / 阿里云 ACR / 腾讯云 TCR

参考资料

2024 视角：Docker 24+ / 25+ / 26+ 已经"云原生一体化"

2015 那篇是 Docker 1.7~1.12 时代。2024 视角下 Docker 已经 26+（2024-04），加上 containerd / BuildKit / compose v2 已经"完全成熟"。

一、Docker 24 → 26+（2024 主流）

Docker 24.0（2023-05）：引入 Docker Scout（镜像漏洞扫描）、Docker Debug。
Docker 25.0（2024-01）：Compose v2 全面替代 Compose v1（v1 已废弃）。
Docker 26.0（2024-04）：BuildKit 默认启用、WebAssembly 支持。
Docker 27.0（2024-06）：Testcontainers 集成、容器测试能力。

1
2
3
4


docker --version
# Docker version 26.1.4, build 5650f9b
docker compose version
# Docker Compose version v2.27.0

二、containerd 替代 dockerd 的趋势

2024 大量 K8s 集群已经直接用 containerd（不再用 Docker）：
- containerd 1.7+（2023-04）：K8s CRI 兼容
- nerdctl：containerd 的 Docker-like CLI
- ctr（containerd 原生 CLI）

1
2


# 用 nerdctl 跑容器（语法跟 docker 一样）
nerdctl run -d --name nginx -p 80:80 nginx:1.25

2024 趋势：K8s 节点不要装 Docker，直接装 containerd——少 30% 资源占用。

三、BuildKit 时代

BuildKit（Docker 18.09+ 实验 → 26+ 默认）大幅提升 docker build 速度：
- 并行构建（多 stage 一起）
- 缓存复用（跨 build 共享层缓存）
- mount 语法（--mount=type=cache）

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


# BuildKit 语法（2024 推荐）
# syntax=docker/dockerfile:1
FROM golang:1.22 AS builder
WORKDIR /app
COPY . .
RUN --mount=type=cache,target=/root/.cache/go \
 go build -o /out/app

FROM alpine
COPY --from=builder /out/app /app

四、Harbor v2.x 已成事实标准

2015 那篇是 Harbor v1.9 时代。2024 主流：

Harbor 2.10+（2024）：支持 OCI 标准、镜像签名（cosign）、P2P 镜像分发（kraken）。
Harbor 2.11+（2024-05）：AI 模型管理（ML Model Registry）—— LLM 镜像 / 权重文件直接托管。

1
2
3
4
5
6


# 2024 装 Harbor 2.10
wget https://github.com/goharbor/harbor/releases/download/v2.10.0/harbor-offline-installer-v2.10.0.tgz
tar xvf harbor-offline-installer-v2.10.0.tgz
cd harbor
cp harbor.yml.tmpl harbor.yml
./install.sh

五、Let’s Encrypt 的"现代"姿势

2015 那篇是 certbot + crontab。2024 主流：

acme.sh：单脚本，80+ DNS 厂商支持，更轻量：

1
2
3
4
5
6
7
8


curl https://get.acme.sh | sh
export Ali_Key="xxx"
export Ali_Secret="yyy"
acme.sh --issue -d example.com --dns dns_ali
acme.sh --install-cert -d example.com \
 --key-file /etc/nginx/ssl/example.com.key \
 --fullchain-file /etc/nginx/ssl/example.com.crt \
 --reloadcmd "systemctl reload nginx"

lego（Go 写）：另一个 ACME 客户端，比 certbot 快。
Caddy：内置 ACME——配置即用：

1
2
3
4


example.com {
 reverse_proxy localhost:3000
}
# 自动 HTTPS + 自动续期

六、阿里云 Docker 镜像加速 2024 现状

2015 那篇的 daocloud.io 已经 2020 起停止免费服务。

2024 推荐：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


{
 "registry-mirrors": [
 "https://docker.m.daocloud.io", # DaoCloud 现仍可
 "https://mirror.baidubce.com", # 百度云
 "https://hub-mirror.c.163.com", # 网易
 "https://docker.mirrors.ustc.edu.cn", # 中科大
 "https://docker.nju.edu.cn", # 南京大学
 "https://docker.mirrors.sjtug.sjtu.edu.cn" # 上交大
 ]
}

2024 国内云厂商镜像（更稳定）：
- 阿里云：<regionId>.mirror.aliyuncs.com（每个 region 独立）
- 腾讯云：mirror.ccs.tencentyun.com
- 华为云：swr.cn-north-4.myhuaweicloud.com

七、`docker-compose` → `docker compose` 时代

2024 已无 docker-compose（v1 命令），统一用 docker compose（v2 plugin）。
2023-08 Docker 移除 Compose v1，所有项目必须迁移：

1
2
3
4
5


# 旧
docker-compose up -d

# 新
docker compose up -d

八、Docker 在 K8s 时代的"角色"

2024 大量生产项目已经不用 Docker 跑生产——直接用 K8s + containerd。
Docker 仍用的场景：
- 本地开发
- CI/CD 构建
- 小规模部署（< 10 容器）
- 个人项目
K8s 时代：
- K3s（轻量 K8s，单二进制）
- K0s（CNCF 零摩擦 K8s）
- MicroK8s（Ubuntu 出的）
- minikube（本地开发）

九、Docker 替代品

Podman（Red Hat 出，CentOS Stream / RHEL 9 默认）：无 daemon 架构，rootless 容器。
nerdctl（containerd CLI）：K8s 节点首选。
Buildah：专为 build 场景，无 daemon。
LXC / LXD：系统容器（类似 VM 的容器）。