后端连接泄漏本质是Nginx与后端连接生命周期未对齐，需同步调优双方keepalive超时、启用upstream健康探测、限制后端最大连接数，并严禁后端暴露公网直连。
高可用 Nginx 环境下后端连接泄漏，本质是反向代理链路中 TCP 连接未及时关闭，导致后端服务句柄耗尽、响应延迟上升甚至 502 错误。关键不在“Nginx 是否漏”，而在于它与后端之间的连接生命周期是否对齐。
确保后端主动关闭空闲连接
多数泄漏源于后端应用（如 Spring Boot、Node.js、PHP-FPM）保持长连接但超时远长于 Nginx，造成连接堆积在后端侧。
- Spring Boot：设
server.tomcat.connection-timeout=30s（不要用 -1），并启用keep-alive但限制最大请求数：server.tomcat.max-connections=1000 - Node.js（HTTP Server）：显式配置
server.keepAliveTimeout = 30 * 1000和server.headersTimeout = 40 * 1000 - PHP-FPM：检查
pm.max_requests（建议 500–1000），避免进程僵死；同时确认request_terminate_timeout已设（如 60s）
同步 Nginx 与后端的连接管理策略
Nginx 默认复用 upstream 连接，若后端已断开而 Nginx 不感知，就会残留“半开”连接。
- 在
upstream块中启用健康探测和连接复用控制：
upstream backend {
server 127.0.0.1:8080 max_fails=3 fail_timeout=30s;
keepalive 32;
} - 在
location中强制透传 Connection 控制：
proxy_http_version 1.1;
proxy_set_header Connection '';（清空客户端传来的 Connection，避免干扰） - 添加连接保活探测：
proxy_socket_keepalive on;
proxy_next_upstream error timeout http_502;
拦截非法直连 + 防止连接绕过
若攻击者或配置错误导致请求绕过 Nginx 直连后端（如通过 IP+端口访问 8080），后端将暴露在公网，其连接状态完全失控。
- 后端服务启动时必须绑定
127.0.0.1或内网地址（严禁0.0.0.0） - 云服务器安全组 / 本地防火墙（ufw/iptables）拒绝所有外部对后端端口（如 8080、3000）的入站访问，仅允许本机（127.0.0.1）和运维跳板机 IP
- 宝塔用户可在「安全」→「防火墙」中添加规则：来源 IP “拒绝”，端口填“8080”，协议选 TCP
监控连接数异常增长
不靠猜测，靠指标定位泄漏源头：
- 实时查看 Nginx 连接状态：
curl http://127.0.0.1/nginx_status（需启用 stub_status），重点关注Active connections和Reading/Writing/Waiting分布 - 检查后端进程打开的 socket 数：
lsof -i :8080 | wc -l，持续 >500 且不回落即存在泄漏风险 - 用
ss -tan state established | grep ':8080' | wc -l统计 ESTAB 状态连接数，对比 Nginx worker 进程数判断是否单进程连接堆积
