需启用Nginx stream模块进行四层TCP代理，配置stream块定义上游与监听端口，可选加SSL加密，但ThinkPHP原生不支持TCP，仅适用于已改造为TCP协议的服务（如Swoole/Workerman自定义服务）。
如果您希望将ThinkPHP应用通过Nginx以TCP流方式对外提供服务，而非传统的HTTP七层代理，则需启用Nginx的stream模块进行四层代理配置。该方式适用于将ThinkPHP后端（如运行在Swoole、Workerman或FastCGI网关之外的自定义TCP服务）暴露于指定端口，并由Nginx完成负载均衡或SSL加密转发。以下是具体配置步骤：
一、确认Nginx已编译并启用stream模块
stream模块是Nginx四层代理的核心，必须在编译时显式启用，且与http块同级。若当前Nginx未包含该模块，无法通过常规conf.d目录动态加载生效。
1、执行nginx -V 2>&1 | grep -o with-stream，检查输出是否含with-stream字样。
2、若无输出，说明未启用stream模块，需重新编译安装：进入源码目录，运行./configure --prefix=/usr/local/nginx --with-stream --with-stream_ssl_module --with-http_ssl_module。
立即学习“PHP免费学习笔记（深入）”；
3、执行make && sudo make install，覆盖安装后验证模块存在。
4、若使用yum/apt安装的Nginx，可尝试加载动态模块：load_module /usr/share/nginx/modules/ngx_stream_module.so;，该行须置于主配置文件最顶部（user指令之前）。
二、配置stream块代理ThinkPHP TCP服务
ThinkPHP本身不原生提供TCP服务，但可通过扩展（如think-swoole、think-worker）启动独立TCP监听端口（例如9501）。Nginx stream模块仅做透明转发，不解析应用层协议，因此需确保ThinkPHP服务已稳定运行于后端节点。
1、打开Nginx主配置文件（通常为/usr/local/nginx/conf/nginx.conf），在http { ... }块**上方**添加stream { ... }块。
2、定义上游服务器组，例如命名为thinkphp_tcp_backend：
upstream thinkphp_tcp_backend {
server 192.168.10.20:9501 weight=1 max_fails=3 fail_timeout=30s;
server 192.168.10.21:9501 weight=1 max_fails=3 fail_timeout=30s;
}
3、配置监听端口（如对外暴露6001端口）并绑定上游：
server {
listen 6001;
proxy_pass thinkphp_tcp_backend;
proxy_timeout 10s;
proxy_responses 1;
}
三、为TCP代理启用SSL加密（可选）
当客户端需通过TLS连接ThinkPHP TCP服务时（例如使用自定义协议+TLS封装），可在stream server中启用SSL终止，要求客户端支持ALPN或直接协商TLS握手。
1、准备有效的SSL证书与私钥文件，权限设为600且Nginx主进程可读。
2、修改stream server配置，替换监听指令为listen 6002 ssl，并添加以下SSL参数：
ssl_certificate /etc/nginx/ssl/thinkphp.crt;
ssl_certificate_key /etc/nginx/ssl/thinkphp.key;
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;
ssl_prefer_server_ciphers off;
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 10m;
3、确保防火墙放行6002端口，并验证证书链完整性。
四、验证TCP代理连通性
stream模块不支持HTTP健康检查，需使用底层网络工具确认代理链路是否可达及后端服务响应正常。
1、在客户端执行telnet your_nginx_ip 6001，观察是否能建立TCP连接。
2、若ThinkPHP TCP服务支持简单文本交互（如返回"HELLO"），使用echo "PING" | nc your_nginx_ip 6001测试请求透传。
3、启用Nginx error_log级别为info，检查/usr/local/nginx/logs/error.log中是否有stream proxy相关错误，如no live upstreams或connection refused。
4、使用ss -tuln | grep :6001确认Nginx确实在监听对应端口。
五、处理常见兼容性问题
ThinkPHP基于HTTP生态构建，直接走TCP流可能引发协议错位或状态管理异常，需针对性规避。
1、若ThinkPHP服务依赖HTTP头部信息（如X-Real-IP），则**不可使用纯TCP代理**，应改用HTTP七层代理或在Swoole中自行解析原始TCP包并注入模拟头。
2、当多个客户端复用同一TCP连接时，Nginx默认启用proxy_buffering off（stream模块无缓冲概念），需确保ThinkPHP服务端具备连接复用处理能力。
3、若后端为Swoole HTTP Server，误配为TCP代理将导致HTTP协议解析失败；此时应严格使用http { ... }块配合fastcgi_pass或proxy_pass http://...。
4、关键提示：ThinkPHP官方标准部署不推荐四层TCP代理，仅适用于已改造为长连接协议的服务场景。未经协议适配强行启用，将导致路由失效、Session丢失、CSRF校验失败等严重问题。
