Buffalo 应用生产环境应前置 Nginx，用于静态资源分发、TLS 终止、请求缓冲与安全加固；Nginx 需配置 root 指向 public/ 并用 try_files 优先服务静态文件，proxy_pass 必须以斜线结尾确保路径正确转发，502 错误多因 Buffalo 进程未运行或监听地址不匹配。
Buffalo 框架本身是用 Go 写的 Web 应用框架，它默认自带 HTTP 服务器（基于 net/http），不依赖 Nginx 运行；但生产环境强烈建议前置 Nginx——不是为了“必须用”，而是为了静态资源高效分发、TLS 终止、请求缓冲、跨域控制和安全加固。直接暴露 Buffalo 的 Go server 到公网，容易踩连接数、超时、缓存缺失等坑。
Buffalo 构建后如何托管静态资源
Buffalo 默认在 public/ 目录下存放静态文件（CSS/JS/images 等），构建时会把 assets/ 编译结果也打进去。Nginx 不需要调用 Buffalo 的任何服务来提供这些文件，直接读磁盘即可。
关键点：
-
root和alias别混用：root /path/to/myapp;+location / { ... }表示请求/style.css会去找/path/to/myapp/style.css；而alias /path/to/myapp/public/;+location /static/表示请求/static/style.css会去找/path/to/myapp/public/style.css - Buffalo 的
public/是根静态目录，推荐用root配合location /，避免路径置换出错 - 务必加
try_files $uri @buffalo;：让 Nginx 先查静态文件，找不到再转给 Buffalo 后端
示例片段：
location / {
root /opt/myapp/public;
try_files $uri @buffalo;
}proxy_pass 转发到 Buffalo 应用的正确写法
Buffalo 默认监听 127.0.0.1:3000（开发）或你指定的端口（生产）。Nginx 用 proxy_pass 把动态请求甩过去，但常见错误是路径拼接错。
比如你希望浏览器访问 /api/users 时，Nginx 转给 http://127.0.0.1:3000/api/users，那就必须保证 proxy_pass 末尾带斜线：
- ✅ 正确：
proxy_pass http://127.0.0.1:3000/;（末尾有/） - ❌ 错误：
proxy_pass http://127.0.0.1:3000;（没斜线，会导致/api/users变成http://127.0.0.1:3000/api/users→http://127.0.0.1:3000/api/users？不对，其实是拼成http://127.0.0.1:3000/api/users，但 Buffalo 路由匹配可能失败，尤其用了子路径前缀时） - Buffalo 的路由是严格匹配的，
proxy_pass少个/可能导致路径多一层前缀，404
完整转发块参考：
location @buffalo {
proxy_pass http://127.0.0.1:3000/;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
}为什么 Buffalo 项目常遇到 502 Bad Gateway
这不是 Nginx 配置语法问题，而是 Buffalo 进程根本没起来、挂了、或没监听在预期地址上。Nginx 日志里看到 connect() failed (111: Connection refused) 就是这个原因。
排查顺序：
- 确认 Buffalo 进程在运行：
ps aux | grep buffalo或systemctl status myapp - 确认监听地址和端口是否匹配：
netstat -tuln | grep :3000，注意是不是只绑了127.0.0.1（应该没问题），而不是localhost或::1（IPv6 可能被忽略） - Buffalo 启动命令是否加了
--port 3000 --host 127.0.0.1？默认buffalo dev只用于开发，生产请用buffalo build后运行二进制，并确保不带--debug或热重载 - SELinux 或防火墙是否拦截了本地回环通信？
setsebool -P httpd_can_network_connect 1（CentOS/RHEL）
跨域与 HTTPS 终止别交给 Buffalo 处理
Buffalo 的中间件也能加 Access-Control-Allow-Origin，但没必要——Nginx 层统一加更安全、更可控，且避免每个请求都进 Go runtime。
HTTPS 终止同理：让 Nginx 解密 TLS，再以 HTTP 明文转给 Buffalo，既省 Go 的 TLS 开销，又能复用 Let’s Encrypt 自动续签（certbot）。
加 CORS 的最小配置：
location @buffalo {
proxy_pass http://127.0.0.1:3000/;
# ... 其他 proxy_* 设置
add_header 'Access-Control-Allow-Origin' '*' always;
add_header 'Access-Control-Allow-Methods' 'GET, POST, OPTIONS, PUT, DELETE' always;
add_header 'Access-Control-Allow-Headers' 'DNT,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Range,Authorization' always;
add_header 'Access-Control-Expose-Headers' 'Content-Length,Content-Range' always;
}注意：add_header ... always 是防止被 Buffalo 自己的响应头覆盖；如果只对 API 路径开 CORS，就把这段挪到对应 location /api/ 块里。
真实部署中，最容易被忽略的是 Buffalo 二进制的运行用户权限（比如能否读 database.yml）、日志路径可写性，以及 Nginx worker 进程能否访问目标端口——这些比配置语法难 debug 得多。
