Nginx高并发下内存增长或OOM、连接失败，多因内存溢出或句柄泄露；需通过ps/lsof监控RSS与句柄数，核查ssl_session_cache、proxy_buffering等配置，并用stub_status、pstack/pmap定位泄漏源头。
当 Nginx 作为负载均衡器长期运行在高并发场景下，内存持续增长、worker 进程被 OOM killer 杀掉，或连接数飙升后响应变慢、新建连接失败，往往不是单纯配置不合理，而是背后存在 内存溢出 或 句柄泄露。这两类问题隐蔽性强、复现周期长，仅靠 top、netstat 看表象容易误判。关键在于建立分层监控逻辑：先识别异常现象，再定位资源类型，最后关联到具体模块或配置。
从系统层快速识别内存与句柄异常
不依赖 Nginx 自身日志，直接通过 Linux 内核暴露的指标发现早期风险：
-
内存方面：用
ps -o pid,vsz,rss,comm -C nginx查看各 worker 进程 RSS 增长趋势；若某 worker RSS 在数小时内上涨超 300MB 且不回落，大概率存在泄漏（注意排除 jemalloc 大页缓存等正常波动） -
句柄方面：执行
lsof -p PID | wc -l或直接读/proc/PID/fd/目录数量；正常负载下单 worker 句柄数应稳定在worker_connections × 1.2范围内；若持续超过 2 倍且伴随accept() failed (24: Too many open files)错误，说明句柄未释放 - 配合
cat /proc/sys/fs/file-nr查看全系统已分配句柄数是否逼近fs.file-max，避免影响其他服务
聚焦 Nginx 配置中易引发泄漏的关键项
很多“泄漏”其实源于配置与业务模型错配，而非代码缺陷。以下几处需重点核对：
-
ssl_session_cache：共享内存区满会导致新 TLS 握手退化为全握手，CPU 升高同时触发大量临时堆内存分配；检查命中率（
$ssl_session_reused变量统计）、确认是否多个 server 块重复定义同名 cache，建议按公式cache_size ≈ 新会话数/秒 × 超时秒数 × 0.5KB重估大小 -
proxy_buffering 与 proxy_buffers：关闭 buffering（
proxy_buffering off）时，Nginx 会为每个 upstream 响应预分配大缓冲区；若后端响应体大且不稳定，易堆积未释放内存；建议开启 buffering 并合理设置proxy_buffer_size和proxy_buffers -
open_file_cache：启用后若
inactive时间过长（如设为 300s），且业务存在大量短生命周期静态文件访问，会造成缓存条目滞留、句柄无法及时归还；建议设为 20–60s，并开启open_file_cache_errors on主动剔除失效项
利用 stub_status 与自定义指标做轻量级实时追踪
内置 ngx_http_stub_status_module 虽不直接暴露内存/句柄数值，但能反映资源使用失衡的间接信号：
- 持续观察
Active connections与Writing的比值：若Writing长期占 Active 的 30% 以上，说明响应阶段阻塞严重，可能因 upstream 超时未释放 buffer 或 SSL session 缓存争抢 - 对比
Accepted与Handled：若差值持续扩大（如 Accepted – Handled > 1000），表明 accept 队列积压，常由句柄不足或 epoll_wait 响应延迟引起 - 配合 access_log 中
$request_time和$upstream_response_time计算差值，若差值突增且集中在特定 upstream，说明该后端返回缓慢，导致 Nginx 在等待中维持连接和缓冲区
结合 pstack + pmap 定位真实泄漏源头
当监控发现异常，需快速缩小范围，避免盲目重启：
- 对 RSS 异常高的 worker 执行
pstack PID：重点看是否多个线程卡在ngx_ssl_handshake、ngx_http_upstream_send_request或第三方模块 handler 中；反复出现同一函数栈是强线索 - 用
pmap -x PID | sort -k3 -r | head -n5找出最大匿名内存段，再查/proc/PID/smaps对应段的RSS和MMUPageSize；若 RSS 数百 MB 且页大小为 4kB，基本可断定是堆内存未释放 - 对可疑地址段用
gdb -p PID执行dump binary memory，再用strings提取可读内容；若看到大量重复 URL、JSON 片段或 base64 blob，基本锁定是某个 upstream 响应体缓存未清理或日志模块写入堆积
