Nginx容器在Docker中正确支持HTTP/3需同时映射TCP和UDP的443端口，并在配置中启用listen 443 ssl http2;与listen 443 quic reuseport;、TLSv1.3及Alt-Svc头。
要在 Docker 中让 Nginx 容器正确支持 HTTP/3，关键不是“只映射 UDP 端口”，而是同时映射 TCP 和 UDP 的 443 端口，并确保容器内 Nginx 配置已启用 QUIC 监听。HTTP/3 依赖 QUIC 协议，而 QUIC 运行在 UDP 上，但 TLS 握手和 HTTP/2 流量仍需共存于同一域名和端口（443），所以必须双协议并行暴露。
必须映射的端口组合
运行容器时，需显式声明 TCP 和 UDP 两个 443 端口：
- TCP 443：承载 HTTPS + HTTP/2 流量，兼容所有旧客户端
- UDP 443：承载 QUIC 数据包，是 HTTP/3 的传输通道
命令示例：
-p 80:80 \
-p 443:443 \
-p 443:443/udp \
--name nginx-quic \
nginx-quic
Nginx 配置中监听语句要完整
仅端口映射还不够，容器内 Nginx 的 server 块必须同时声明 TCP 和 UDP 监听，并启用 QUIC 参数：
- 写法必须包含
listen 443 ssl http2;（TCP） - 以及
listen 443 quic reuseport;（UDP，reuseport提升多核处理能力） - 必须启用 TLS 1.3：
ssl_protocols TLSv1.3; - 必须返回
Alt-Svc头告知浏览器支持 HTTP/3：add_header Alt-Svc 'h3=":443"; ma=86400';
验证是否生效的三步检查
容器启动后，别只看能否打开网页，要逐层确认：
- 查端口映射：
docker port <容器名>应显示类似443/tcp -> 0.0.0.0:443和443/udp -> 0.0.0.0:443 - 进容器查监听：
docker exec -it <容器名> ss -tuln | grep :443应看到tcp和udp两行 - 用支持 HTTP/3 的工具测试：
curl -I --http3 https://localhost或浏览器开发者工具 Network 标签页查看 Protocol 列是否出现h3
常见失败原因
即使配置都写了，也可能因以下原因导致 HTTP/3 不可用：
- 宿主机防火墙或云服务商安全组未放行 UDP 443（比 TCP 更容易被忽略）
- 使用的 Nginx 镜像未编译
--with-http_v3_module和 BoringSSL/OpenSSL 3.0+ 支持 - 证书不满足 TLS 1.3 要求（如使用了 RSA-SHA1 签名或弱密钥）
- 客户端网络中间设备（如企业代理、老旧路由器）主动丢弃 UDP 443 包
