程序默认监听 8001 端口，反向代理和域名接入怎么配

AnQiCMS 默认监听 8001 端口，正式上线时域名的访问不应该带着这个端口号走。标准接法是让程序只在内部监听，对外由 Web 服务器做反向代理：用户访问 80 或 443，代理层收到后转发给本机的 8001，HTTPS 证书也统一装在代理层。这样端口暴露、加密终结、静态加速都收在一处，程序本身保持简单。

默认端口与对外端口的分工

8001 是程序的内部监听口，它的存在是为了不和机器上其他服务抢 80/443；对外端口归 Web 服务器（Nginx、Apache 或面板内置的代理服务）使用。两者的分工确认后，配置就有了一条清晰主线：防火墙只放行 80 与 443，把 8001 限制为仅本机或内网可访问，避免用户绕过代理直连端口、也减少暴露面。

访问验证也按这个分层来：先用服务器本机的本地请求确认 8001 有响应，再确认代理转发规则命中，最后才从外部用域名访问。三段各对应一类故障，顺序排查不容易误判。

反向代理要转发的不只是端口

代理规则里除了把请求转给 8001，还要带上三组信息：真实客户端协议（X-Forwarded-Proto）、真实访问域名（Host 头），以及访客 IP 的透传头。漏掉协议头，后台生成的链接会在 http 与 https 之间来回跳；漏掉 Host，多站点场景下程序无法判断这次请求属于哪个域名；漏掉 IP 透传，日志里全是代理自身的地址，风控与统计都失真。

反向代理软件本身的站点配置里，把上述头部逐条填齐，比调转发超时参数更优先。

HTTPS 终结层与 301 跳转

证书装在代理层，让 443 的解密发生在 Web 服务器上，内网到 8001 走明文或内部加密均可。装完证书后要做 URL 收敛：http 版本的每个地址、以及历史上带 :8001 的直连地址，都应通过 301 重定向指向最终的 https 规范域名。这一步在 AnQiCMS 后台用 301 跳转管理就能配置重定向规则，配合伪静态规则让地址形态统一，搜索引擎收到的就是单一口径的规范地址，不需要靠 canonical 之类的页面级补救。

收敛没做彻底时，常见症状是搜索结果里同一站点混着 http、https、带端口三种地址，点击后还出现跳转链——回头检查代理层与后台的 301 规则是否重复或冲突即可。

宝塔与 Docker 路径下配置落点

部署方式决定这些配置写在哪里。走宝塔面板一键部署（或国际版的 aaPanel）时，反向代理和证书都在面板的站点设置里完成：创建站点、添加代理规则指向 8001、一键申请证书、开启强制 HTTPS，全程不碰程序自身的监听配置，LNMP 环境下的命令行部署也是同样的落点，只是手写 Nginx 配置。

走 Docker 路线时，官方镜像 anqicms/anqicms 起容器后把 8001 映射到宿主内部端口，前面再放一个 Nginx 或 Traefik 容器承担 ⁸⁰⁄₄₄₃ 与证书。要点是别让容器端口直接发布到公网防火墙外侧，并保证代理容器的转发头部配置与上面一致。两条路径没有优劣，面板路线对运维新手更直观，Docker 路线在迁移与多环境复制上更省事。

不管哪种路径，动手前先把当前数据做一次备份，端口与证书类变更出问题时可以用备份恢复兜底，再回到原配置。

常见问题

Q：能把程序直接改成监听 80 吗？ A：可以但通常没必要，直监听 80 会和同机服务冲突，证书与跳转管理也不如统一放在代理层清晰。

Q：访问域名 502 是什么问题？ A：多为代理转发目标不通：确认容器或进程在 8001 存活、防火墙允许本机回环转发、端口映射与代理配置中的目标端口一致。

Q：带端口的旧地址还有外链指向，要处理吗？ A：要。给这些地址配 301 重定向到规范域名，让存量外链的权重与访客都归到主地址上。