Nginx 站点排障怎么查：404、403、502、HTTPS 和反代顺序

3次阅读

Nginx 出问题时，页面上通常只给你一个状态码：404、403、502、重定向循环、证书异常。真正排障不能只看浏览器提示，要把 DNS、证书、Nginx 配置、上游服务、日志和文件权限串起来看。

我的习惯是先跑一遍固定检查清单，再按状态码深入。

不管是什么错误，先确认基础项：

nginx -t
nginx -s reload

然后看：

server_name 是否匹配当前域名。
80/443 端口是否监听。
云服务器安全组是否放行。
SSL 证书和私钥路径是否正确。
反代的后端端口是否真的可访问。
access.log 和 error.log 有没有更具体错误。

不要跳过日志。Nginx 给浏览器的是结果，日志里才有原因。

404 表示 Nginx 没找到资源，常见原因有：

server_name 没匹配到正确 server block。
root 路径写错。
alias 路径拼接错。
前端单页应用缺少 fallback。
宝塔或面板生成的配置没生效。

静态站点常见配置：

location / {
    try_files $uri $uri/ /index.html;
}

如果是 Vue、React、Vite 这类单页应用，刷新二级路由时 Nginx 会去磁盘找真实文件。没有 try_files ... /index.html，就容易 404。

root 和 alias 也要分清。root 会把 location 后面的路径拼到根目录后面；alias 则直接映射到指定目录。很多图片服务 404 都是这两个混用了。

403 表示 Nginx 找到了位置，但不允许访问。常见原因：

目录没有索引页。
没开 autoindex。
文件或目录权限不足。
worker 用户没有读取权限。
WAF、防盗链、跨域规则拦截。

比如访问 /download/，目录下没有 index.html，又没开启目录浏览，Nginx 就可能返回 403。

权限问题要看 Nginx worker 使用的用户，比如 www-data、nginx、www。文件属于 root 但不给其他用户读，也会出问题。

502 通常表示 Nginx 作为代理时，上游服务不可用或返回异常。

常见原因：

后端服务没启动。
反代端口写错。
Docker 容器网络不通。
上游启动慢，超时太短。
后端进程崩溃。
Nginx 到 upstream 的协议不一致。

先在服务器本机验证上游：

curl http://127.0.0.1:8080/health

如果本机 curl 都不通，不要先改 Nginx。先把后端服务启动和端口确认好。

反代配置可以从最小可用开始：

location /api/ {
    proxy_pass http://127.0.0.1:8080/;
    proxy_set_header Host $http_host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
}

如果站点接了 Cloudflare，HTTPS 问题要同时看 Cloudflare 和源站。

排查顺序：