在 Docker 中部署 OpenResty 作为高性能网关，应基于官方 Alpine 镜像定制构建，通过多阶段编译精简体积，将 Lua 网关逻辑（鉴权、路由、限流）模块化并预加载，配置分离挂载，对接后端时启用健康检查与超时调优，容器运行需暴露端口、挂载日志、限制资源，并增强可观测性与错误捕获。
在 Docker 中部署 OpenResty 作为高性能网关，核心是轻量封装、配置解耦、网络可控。不建议直接用官方 OpenResty 镜像跑复杂网关逻辑，而应基于其基础镜像定制化构建，把路由、鉴权、限流等 Lua 逻辑通过挂载或构建方式注入。
选择合适的基础镜像并精简构建
OpenResty 官方提供 openresty/openresty:alpine（推荐）或 :bullseye（Debian）镜像。Alpine 版本体积小、启动快，适合网关场景；若需兼容某些 C 库（如 OpenSSL 特定版本），可选 Debian 基础版。
构建时避免在容器内编译，全部前置到构建阶段完成：
- 使用多阶段构建：第一阶段安装依赖、编译模块（如 lua-resty-jwt、lua-resty-limit-traffic）；第二阶段仅复制二进制和配置
- 禁用不需要的组件（如 GeoIP、LuaRocks 若不用可删减）以减小镜像体积
- 将
nginx.conf和conf.d/下的站点配置打包进镜像，或通过挂载方式外部管理
配置分离与动态加载 Lua 网关逻辑
网关的核心能力（如 JWT 验证、API 路由分发、黑白名单）应写成独立 Lua 模块，放在 /usr/local/openresty/lualib/resty/ 或自定义路径，并在 init_by_lua_block 中预加载。
推荐结构示例：
/app/ ├── nginx.conf # 主配置，含 events/http/server ├── conf.d/gateway.conf # location /api/ → load_balancer.lua ├── lualib/ │ └── gateway/ │ ├── auth.lua # JWT 解析 + 权限检查 │ ├── router.lua # 基于 path/host 的路由分发 │ └── rate_limit.lua # 基于 redis 的令牌桶限流
关键配置片段：
location /api/ {
access_by_lua_file /app/lualib/gateway/auth.lua;
access_by_lua_file /app/lualib/gateway/rate_limit.lua;
content_by_lua_file /app/lualib/gateway/router.lua;
}
对接后端服务与网络调优
OpenResty 作为网关需稳定转发请求，重点配置如下：
- 使用
upstream块定义后端集群，启用健康检查（lua-resty-upstream-healthcheck） - 设置合理的超时：
proxy_connect_timeout（1s）、proxy_send_timeout（30s）、proxy_read_timeout（30s） - Docker 内启用
host.docker.internal或用自定义网络让 OpenResty 容器直连宿主机或其它容器（如 Redis、Auth 服务） - 开启
reuseport和worker_connections 10240提升并发处理能力
容器运行与可观测性支持
启动命令需暴露端口、挂载日志、限制资源：
docker run -d \ --name openresty-gw \ --network mynet \ -p 80:80 -p 443:443 \ -v $(pwd)/logs:/usr/local/openresty/nginx/logs \ -v $(pwd)/conf:/usr/local/openresty/nginx/conf \ -v $(pwd)/lualib:/app/lualib \ --restart=unless-stopped \ -m 512m \ my-openresty-gateway:1.25
增强可观测性：
- 在
log_format中加入$request_time、$upstream_response_time、$status等字段 - 用
lua-resty-logger-socket将日志异步推送到 ELK 或 Loki - 暴露
/healthz和/metrics（配合lua-resty-prometheus）供监控采集
不复杂但容易忽略的是配置热重载和错误捕获——加 lua_code_cache off 仅用于开发；生产务必开启，并在每个 Lua 文件顶部加 pcall 包裹主逻辑防止崩溃。
