Gunicorn 不能直接暴露给公网，必须由 Nginx 前置反向代理——否则丢失请求头、无法处理静态文件、易受慢速攻击拖垮；其默认监听回环地址且缺乏 SSL、缓存、连接限制等能力。
Gunicorn 不能直接暴露给公网，Nginx 必须前置做反向代理——跳过这步会丢请求头、无法处理静态文件、还可能被恶意连接打崩。
为什么不能只用 Gunicorn 跑 Flask？
Flask 自带的 Werkzeug 开发服务器线程模型不抗并发，Gunicorn 虽然能管理多个 worker，但它本身没有 HTTP 缓存、SSL 终止、负载均衡或静态文件服务能力。更关键的是：gunicorn 默认监听 127.0.0.1:8000 这类回环地址，外部根本连不上；即使改成 0.0.0.0:8000，也会因缺少连接限制、超时控制和请求头清洗，被慢速攻击（如 Slowloris）轻易拖垮。
常见错误现象：
- curl 直连
http://your-server:8000成功，但浏览器访问域名返回 502 - Flask 中
request.remote_addr总是127.0.0.1，拿不到真实 IP - 上传大文件时 Nginx 报
413 Request Entity Too Large，但 Gunicorn 日志里根本没收到请求
配置 Gunicorn 启动参数的关键点
Gunicorn 不是“启动就完事”，worker 类型、数量、超时、日志路径都得按实际负载调。别照抄网上 --workers 4 的例子——CPU 密集型应用用 sync worker，I/O 密集型（比如调外部 API 多）建议 gevent，但得额外装 gevent 包。
立即学习“Python免费学习笔记（深入）”；
FastAPI + Flask 混合部署最佳实践，解决路由定义、API 代理等常见问题，适用于同时运行 FastAPI API 与 Flask 前端的场景。
- 必须加
--bind 127.0.0.1:8000（不要用0.0.0.0），让 Nginx 本地转发 - 加
--timeout 30防止长请求卡死 worker；--keep-alive 5控制 HTTP Keep-Alive 时间 - 用
--access-logfile /var/log/myapp/gunicorn_access.log和--error-logfile /var/log/myapp/gunicorn_error.log分离日志，别输出到 stdout - 加
--forwarded-allow-ips="127.0.0.1"并配合 Nginx 的X-Forwarded-For设置，才能让 Flask 正确识别客户端 IP
示例启动命令：
gunicorn --bind 127.0.0.1:8000 --workers 3 --timeout 30 --keep-alive 5 --forwarded-allow-ips="127.0.0.1" --access-logfile /var/log/myapp/gunicorn_access.log --error-logfile /var/log/myapp/gunicorn_error.log myapp:app
Nginx 配置里最容易漏的三处
Nginx 配置不是把 proxy_pass http://127.0.0.1:8000 往里一塞就完事。下面这三项不写，Gunicorn 就等于白配：
- 必须加
proxy_set_header Host $host;和proxy_set_header X-Real-IP $remote_addr;，否则 Flask 的url_for()生成的链接可能带错端口或协议 - 静态文件路径要显式拦截：
location /static { alias /path/to/your/app/static/; }，别指望 Gunicorn 去 serve - 上传限制必须在
http或server块里设：client_max_body_size 10M;，否则大 POST 直接 413，Gunicorn 根本收不到
还要注意：如果用了 HTTPS，Nginx 必须加 proxy_set_header X-Forwarded-Proto $scheme;，不然 Flask 的 url_for(external=True) 可能生成 http 链接。
部署后必须验证的两个细节
跑起来不等于配对了。真正上线前，得手动测两件事：
- curl -H "Host: yourdomain.com" http://127.0.0.1:8000/health —— 如果返回正常，说明 Gunicorn 独立可用；再 curl https://yourdomain.com/health，看响应头里
X-Server或X-Powered-By是不是 Nginx，确认链路通了 - 在 Flask 里打印
request.environ.get('HTTP_X_FORWARDED_FOR')和request.remote_addr，对比是否一致；不一致说明forwarded-allow-ips或 Nginx 的X-Forwarded-For没传对
最常被忽略的是日志权限：/var/log/myapp/ 目录得让 www-data（Nginx 用户）和 gunicorn 运行用户都有写权限，否则日志静默丢失，出问题时连线索都没。
