高并发独立站与 WordPress 生产级部署规范：Nginx 调优、PHP-FPM 内存池与 Redis 对象缓存

                    外部客户端请求 (HTTPS: 443)
                                │
                                ▼
            ┌────────────────────────────────────────┐
            │   Nginx 反向代理层 (TCP 优化 / SSL 卸载) │
            └───────────────────┬────────────────────┘
                                │
         ┌──────────────────────┴──────────────────────┐
         ▼                                             ▼
  【静态资产请求】                              【动态业务请求 (.php)】
  .js / .css / .webp / 图片                    WordPress 路由与 API
         │                                             │
         ▼                                             ▼
本地高性能磁盘缓存 /                      Nginx FastCGI Unix Socket
强缓存响应 (Cache-Control)                             │
         │                                             ▼
         │                                    ┌─────────────────┐
         │                                    │  PHP-FPM 进程池  │
         │                                    │ (内存静态/动态调配)│
         │                                    └────────┬────────┘
         │                                             │
         │                         ┌───────────────────┴───────────────────┐
         │                         ▼                                       ▼
         │              【Redis 本地 Unix Socket】                   【MariaDB / MySQL】
         │              内存对象缓存命中 (命中率 > 90%)             InnoDB 缓冲池兜底
         │              (直接返回 SQL 查询与瞬态数据)                (仅当缓存穿透时执行)
         │                         │                                       │
         └─────────────────────────┼───────────────────────────────────────┘
                                   ▼
                         组装响应报文并压缩下发

# 提高系统级允许的最大文件句柄总数
fs.file-max = 2097152

# 扩大 TCP 握手全连接队列长度，防止突发流量冲垮监听端口
net.core.somaxconn = 65535

# 扩大 TCP 握手半连接挂起队列
net.ipv4.tcp_max_syn_backlog = 65535

# 允许重用处于 TIME_WAIT 状态的套接字，显著降低出口端口耗尽风险
net.ipv4.tcp_tw_reuse = 1

# 调低系统保留的 TIME_WAIT 套接字最大数量
net.ipv4.tcp_max_tw_buckets = 50000

# 缩短 TCP 保持空闲状态的超时探测周期
net.ipv4.tcp_fin_timeout = 15
net.ipv4.tcp_keepalive_time = 300
net.ipv4.tcp_keepalive_probes = 5
net.ipv4.tcp_keepalive_intvl = 15

# 扩大网络设备接收队列积压缓冲
net.core.netdev_max_backlog = 16384

# 开启 TCP BBR 拥塞控制算法（适用于境外直连与跨境优化线路）
net.core.default_qdisc = fq
net.ipv4.tcp_congestion_control = bbr

sysctl -p

* soft nofile 65535
* hard nofile 65535
* soft nproc 65535
* hard nproc 65535
root soft nofile 65535
root hard nofile 65535

user www-data;
# 自动匹配当前服务器物理 CPU 核心数
worker_processes auto;
# 单进程能够打开的最大文件描述符，与系统 limits 对齐
worker_rlimit_nofile 65535;

pid /run/nginx.pid;
include /etc/nginx/modules-enabled/*.conf;

events {
    # 单个 worker 进程的最大并发连接数
    worker_connections 8192;
    # 启用 epoll 事件驱动机制
    use epoll;
    # 允许单个 worker 进程同时接收所有新建立的连接
    multi_accept on;
}

http {
    ##
    # 基础传输优化
    ##
    sendfile on;
    tcp_nopush on;
    tcp_nodelay on;
    keepalive_timeout 30;
    keepalive_requests 1000;
    types_hash_max_size 2048;
    server_tokens off; # 隐藏 Nginx 版本号，减少漏洞特征暴露

    include /etc/nginx/mime.types;
    default_type application/octet-stream;

    ##
    # 缓冲区优化（避免高并发下向磁盘临时文件写入过多请求缓冲）
    ##
    client_body_buffer_size 128k;
    client_max_body_size 64m;
    client_header_buffer_size 4k;
    large_client_header_buffers 4 16k;

    ##
    # 数据实时压缩（Gzip）
    ##
    gzip on;
    gzip_vary on;
    gzip_proxied any;
    gzip_comp_level 5;
    gzip_min_length 1024;
    gzip_types
        text/plain
        text/css
        text/xml
        text/javascript
        application/json
        application/javascript
        application/xml
        application/xml+rss
        image/svg+xml;

    include /etc/nginx/conf.d/*.conf;
    include /etc/nginx/sites-enabled/*;
}

server {
    listen 80;
    listen [::]:80;
    server_name example.com www.example.com;
    return 301 https://$host$request_uri;
}

server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    server_name example.com www.example.com;

    root /var/www/wordpress;
    index index.php index.html;

    # SSL 证书配置
    ssl_certificate /etc/ssl/certs/example.com.crt;
    ssl_certificate_key /etc/ssl/private/example.com.key;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;
    ssl_prefer_server_ciphers off;
    ssl_session_cache shared:SSL:20m;
    ssl_session_timeout 1d;
    ssl_session_tickets off;

    # 安全响应头
    add_header X-Frame-Options "SAMEORIGIN" always;
    add_header X-XSS-Protection "1; mode=block" always;
    add_header X-Content-Type-Options "nosniff" always;
    add_header Referrer-Policy "no-referrer-when-downgrade" always;

    # 根路径路由规则
    location / {
        try_files $uri $uri/ /index.php?$args;
    }

    # 静态资产动静分离与强缓存
    location ~* \.(jpg|jpeg|png|gif|ico|webp|svg|css|js|woff|woff2|ttf|eot)$ {
        expires 180d;
        add_header Cache-Control "public, no-transform";
        access_log off;
        log_not_found off;
    }

    # 禁止直接执行 uploads 目录中的动态脚本（防挂马）
    location ~* /(?:uploads|files)/.*\.php$ {
        deny all;
    }

    # 阻拦敏感系统隐藏文件与 XML-RPC
    location ~ /\. {
        deny all;
        access_log off;
        log_not_found off;
    }
    location = /xmlrpc.php {
        deny all;
        access_log off;
        log_not_found off;
    }

    # 动态 PHP 请求转发：走系统 Unix Domain Socket
    location ~ \.php$ {
        include snippets/fastcgi-php.conf;
        fastcgi_pass unix:/run/php/php8.3-fpm.sock;

        # 调优 FastCGI 响应缓冲，避免大页面或长页面写入硬盘临时文件
        fastcgi_buffer_size 128k;
        fastcgi_buffers 8 128k;
        fastcgi_busy_buffers_size 256k;
        fastcgi_temp_file_write_size 256k;
        fastcgi_read_timeout 120s;
    }
}

[www]
user = www-data
group = www-data

; 使用 Unix Domain Socket 获得更高进程间通讯吞吐量
listen = /run/php/php8.3-fpm.sock
listen.owner = www-data
listen.group = www-data
listen.mode = 0660

; 调高监听后备队列深度，与内核 somaxconn 配合防止短时挂起丢包
listen.backlog = 65535

; 进程管理模式：生产推荐 dynamic 或 static（4GB+ 内存服务器强烈推荐 static 避免进程震荡）
pm = dynamic

; 依据上方测算表填入（以 2GB 内存服务器为例）
pm.max_children = 24
pm.start_servers = 6
pm.min_spare_servers = 4
pm.max_spare_servers = 10

; 关键防护：单个 worker 进程累计处理多少次请求后强制重启，彻底回收内存泄漏
pm.max_requests = 1000

; 开启慢日志跟踪，定位卡死请求的具体插件或文件
slowlog = /var/log/php-fpm-slow.log
request_slowlog_timeout = 5s

; 单个脚本的最长执行时间
request_terminate_timeout = 60s

systemctl restart php8.3-fpm

[mysqld]
# 1. 基础连接与网络优化
skip-name-resolve               # 彻底禁用 DNS 反向解析，极大加速连接握手建立
max_connections = 150           # 严格限制最大连接，避免无界膨胀冲垮系统
thread_cache_size = 32          # 缓存空闲连接线程，减少频繁建立销毁开销

# 2. InnoDB 核心缓冲池（最为关键的性能指标）
# 规则：分配系统总内存的 25% ~ 40%（单机兼顾运行 PHP 与 Redis 时不可盲目设定为 70%）
# 1GB 内存机器建议 256M，2GB 内存机器建议 512M，4GB 内存机器建议 1024M ~ 1536M
innodb_buffer_pool_size = 512M
innodb_buffer_pool_instances = 1 # 1G 以上内存池可设置为 2 或 4 以降低锁竞争

# 3. 事务日志与磁盘刷盘频率控制
innodb_log_file_size = 128M
innodb_log_buffer_size = 16M

# 性能跳跃开关：设置为 2 时，事务提交只写入操作系统 OS Cache，由系统每秒刷盘一次
# 极大地提高写入吞吐，即使服务器进程异常崩溃也仅损失至多 1 秒内的非核心数据
innodb_flush_log_at_trx_commit = 2

# 4. 表缓存与临时表
table_open_cache = 2048
tmp_table_size = 32M
max_heap_table_size = 32M

systemctl restart mariadb # 或 systemctl restart mysql

apt update
apt install -y redis-server php8.3-redis

# 禁用本地 TCP 端口监听（若无外部访问需求，直接设为 0）
port 0

# 开启 Unix Domain Socket
unixsocket /var/run/redis/redis-server.sock
unixsocketperm 770

# 内存硬上限防护（防止 Redis 占满物理内存导致进程被杀死）
# 建议为 Redis 分配 128MB ~ 256MB 内存空间
maxmemory 256mb

# 关键：当内存达到上限时，采用 LRU 算法剔除最少使用的键
maxmemory-policy allkeys-lru

usermod -aG redis www-data
systemctl restart redis-server
systemctl restart php8.3-fpm

/** Redis 对象缓存高并发优化配置 */
define('WP_REDIS_SCHEME', 'unix');
define('WP_REDIS_PATH', '/var/run/redis/redis-server.sock');
define('WP_REDIS_TIMEOUT', 1);
define('WP_REDIS_READ_TIMEOUT', 1);

// 当单台服务器部署多个独立站点时，必须使用不同的 SALT 前缀以防缓存串号
define('WP_CACHE_KEY_SALT', 'site1_prod_');

// 启用对象缓存
define('WP_CACHE', true);

[ ] 1. SSH 访问基线确认
    - DMIT 用户：确认已通过控制面板 Access 模块或本地 authorized_keys 导入公钥，禁用 PasswordAuthentication；若在面板调整了密钥，确保已在面板触发 Reboot。
    - 搬瓦工用户：明确区分管理账户密码、KiwiVM 面板密码与系统 root 密码，妥善保管。
[ ] 2. 带外救援路径可用性核验
    - 预先测试服务商的带外控制台（DMIT 的 Console 页面 / 搬瓦工的 Interactive Console），确认终端在网络中断时能正常调出。
[ ] 3. 财务与生命周期风险对齐
    - 确认搬瓦工账户内留有续费余额（避免依赖外部非自动扣款通道）。
    - 记录 DMIT 到期前 7 天的账单周期，避免超过 3 天暂停宽限期导致磁盘擦除。
[ ] 4. 端口与资源隔离验证
    - 执行 `netstat -tlpn`，确认 Redis 未暴露出外网 6379 端口，仅通过本地 Socket 或 127.0.0.1 响应。
    - 执行 `ls -l /run/php/php8.3-fpm.sock`，确认用户所有权为 www-data:www-data。
[ ] 5. 异地冷备自动化
    - 严禁仅依赖服务商面板的单机快照；在系统内配置定时任务（如采用 Restic / Borg / rclone），每天凌晨将 WordPress 核心文件（`/var/www/wordpress`）与 MariaDB 数据库转储（`mysqldump`）加密上传至第三方独立对象存储中。