如何在阿里云服务器上快速搭建Python Flak环境_配置安全组与反向代理

游戏科技网2026年09月15日 01:35云服务器20

描述：生产部署需用Nginx+Gunicorn组合：安全组仅放行80/443，Gunicorn绑定127.0.0.1:8000，Nginx proxy_pass与之匹配，关闭Flask的app.run和debug，确保文件权限属Nginx用户。直接上手就能跑通，不需要宝塔、不依赖 Docker，用原生 N…

生产部署需用Nginx+Gunicorn组合：安全组仅放行80/443，Gunicorn绑定127.0.0.1:8000，Nginx proxy_pass与之匹配，关闭Flask的app.run和debug，确保文件权限属Nginx用户。

直接上手就能跑通，不需要宝塔、不依赖 Docker，用原生 Nginx + Gunicorn 就够用。关键不是“装什么”，而是“端口开对没、host 绑对没、反向代理转发对没”——这三处错一个，curl http://你的IP 就 502 或超时。

安全组必须放行 80 和 443，别只开 5000

很多新手在 Flask 本地调试时习惯 app.run(host=0.0.0.0, port=5000)，然后以为只要开放 5000 端口就行。这是错的：生产环境不该直接暴露 Flask 内置服务器，Nginx 才是面向公网的入口，它只走 80/443；Gunicorn 在内网监听比如 8000，不对外暴露。

所以安全组里只需确保：

入方向放行 TCP 80（HTTP）和 443（HTTPS），其他端口一律关闭
5000、8000 这类后端端口 不要加到安全组，否则等于绕过 Nginx 直连 Flask，有严重安全隐患
SSH（22）保留，但建议改非标端口或限制 IP 段

Nginx 反向代理配置要匹配 Gunicorn 绑定地址

常见错误是 Nginx 的 proxy_pass 指向 http://127.0.0.1:5000，但 Gunicorn 实际监听的是 127.0.0.1:8000 —— 或者反过来，Gunicorn 启动时没加 --bind 127.0.0.1:8000，默认绑了 0.0.0.0:8000，导致被误扫或冲突。

立即学习“Python免费学习笔记（深入）”；

LSP Python

利用 pylsp 进行 Python 代码质量检查与 LSP 集成。提供代码诊断、补全、悬停提示及风格分析。适用于检查 Python 代码质量、获取补全建议及风格优化。

下载

正确做法：

Gunicorn 启动命令必须显式指定内网地址：gunicorn -w 2 -b 127.0.0.1:8000 app:app
Nginx 配置中 proxy_pass 必须与之一致：proxy_pass http://127.0.0.1:8000;
检查 Nginx 配置语法：nginx -t，重载：systemctl reload nginx

Flask 的 host 和 debug 必须关掉

开发时写的 app.run(host=0.0.0.0, port=5000, debug=True) 是毒药，绝不能出现在生产启动逻辑里。Gunicorn 会接管运行，app.run(...) 这行代码要么删掉，要么用 if __name__ == __main__: 包住并确保不执行。

否则会出现两个问题：

Gunicorn 启动后，Flask 自己又起一个 werkzeug server，端口冲突或响应混乱
debug=True 会暴露代码路径、变量内容，线上等于送漏洞
确认方式：启动后执行 ps aux | grep flask，只应看到 gunicorn 进程，不应有 python app.py 进程

最易忽略的一点：Nginx 默认用户是 www-data（Ubuntu）或 nginx（CentOS），但你的 Flask 项目文件权限如果只给了 root 或普通用户，Nginx worker 就读不了静态文件、也加载不了 Python 模块。部署前务必执行：chown -R www-data:www-data /path/to/your/project（Ubuntu）或对应用户组。