Gunicorn不能直接暴露在公网，因其仅为WSGI服务器，不具备HTTP服务器功能：不解析TCP流、不处理SSL/TLS、不校验Host头、不管理keep-alive、不限制请求体大小，易受OOM、Slowloris攻击，且无法高效处理静态文件或提供现代HTTPS特性。
为什么 Gunicorn 不能直接暴露在公网？
因为 Gunicorn 是 WSGI 服务器，不是 HTTP 服务器——它不解析原始 TCP 流、不处理 SSL/TLS 握手、不校验 Host 头、不管理连接复用（keep-alive）、也不做请求体大小限制。一旦你用 gunicorn --bind 0.0.0.0:80 app:app 直接监听 80 端口，就等于把 Python 进程裸露在互联网上：
- 恶意大文件上传会直接耗尽内存，触发 OOM killer 杀掉 worker
- 慢速 HTTP 攻击（如 Slowloris）能让单个连接长期占用一个 worker，导致服务不可用
- 没有 TLS 终止能力，HTTPS 请求会失败；即使强行启用
--certfile，也缺乏 OCSP stapling、ALPN、HTTP/2 等现代特性支持 - 所有静态请求（
/static/css/app.css）都得走 Python 解释器，白白浪费 CPU 和 I/O
Nginx 处理静态文件时到底省了多少事？
不是“顺便处理”，而是彻底绕过 Python 栈。当 Nginx 配置了 location /static/，它会：
- 直接读取磁盘上的文件，用 sendfile() 系统调用零拷贝返回给客户端，不经过用户态缓冲区
- 自动设置
Cache-Control、ETag、Expires等响应头，浏览器可缓存数月 - 对
.js、.css自动启用 gzip 压缩（需开启gzip on），而 Gunicorn 默认不压缩响应体 - 按 MIME 类型设置
Content-Type，比如image/png或application/javascript，避免浏览器误判
实测：10MB 的 JS 文件，Nginx 返回耗时约 8ms；Gunicorn 读取+响应则常超 150ms，且每个请求都吃满一个 worker。
proxy_pass 转发时必须加哪些 header？
proxy_pass 不是简单转发 URL，关键在于让后端应用知道真实请求上下文。漏掉以下任意一项，Django/Flask 就可能生成错误的重定向链接或拒绝请求：
立即学习“Python免费学习笔记（深入）”；
-
proxy_set_header Host $host;—— 否则request.host变成127.0.0.1:8000，URL 构造出错 -
proxy_set_header X-Real-IP $remote_addr;—— 获取真实客户端 IP，而非 Nginx 本机地址 -
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;—— 支持多层代理链（如 CDN + Nginx） -
proxy_set_header X-Forwarded-Proto $scheme;—— 让 Flask/Django 知道当前是https，否则url_for(..., _external=True)生成 http 链接
少写一行，就可能造成登录跳转回 http:// 页面，或者 CSRF 校验失败。
UNIX socket 比 TCP port 快在哪？
用 unix:/tmp/gunicorn.sock 替代 127.0.0.1:8000 不是为了“显得高级”，而是实打实的性能差异：
- TCP loopback 仍要走完整协议栈：socket → TCP header 构造 → IP 层 → 回环设备 → 内核 socket 缓冲区 → 用户态读取
- UNIX socket 是内核级 IPC，数据直接在内存中拷贝，无协议开销，延迟低 30%~50%
- 避免端口冲突和 TIME_WAIT 占用，尤其在频繁重启 Gunicorn 时更稳定
- 权限可控：
chown www-data:www-data /tmp/gunicorn.sock & chmod 600，比开放本地端口更安全
注意：nginx 进程和 gunicorn 进程必须同属一个用户组，否则会报 connect() failed (13: Permission denied) while connecting to upstream。
proxy_read_timeout 和 worker_timeout 的配合上——前者是 Nginx 等待 Gunicorn 响应的上限，后者是 Gunicorn worker 处理单个请求的硬限制。设错一个，就会出现“页面白屏但后台日志无报错”的静默失败。 
