服务器上线前必做清单：2C4G ECS 部署实战指南

网罗开发
（小红书、快手、视频号同名）

  大家好，我是 展菲，目前在上市企业从事人工智能项目研发管理工作，平时热衷于分享各种编程领域的软硬技能知识以及前沿技术，包括iOS、前端、Harmony OS、Java、Python等方向。在移动端开发、鸿蒙开发、物联网、嵌入式、云原生、开源等领域有深厚造诣。

图书作者：《ESP32-C3 物联网工程开发实战》 图书作者：《SwiftUI 入门，进阶与实战》 超级个体：COC上海社区主理人 特约讲师：大学讲师，谷歌亚马逊分享嘉宾 科技博主：华为HDE/HDG

我的博客内容涵盖广泛，主要分享技术教程、Bug解决方案、开发工具使用、前沿科技资讯、产品评测与使用体验。我特别关注云服务产品评测、AI 产品对比、开发板性能测试以及技术报告，同时也会提供产品优缺点分析、横向对比，并分享技术沙龙与行业大会的参会体验。我的目标是为读者提供有深度、有实用价值的技术洞察与分析。

展菲：您的前沿技术领航员 👋 大家好，我是展菲！ 📱 全网搜索“展菲”，即可纵览我在各大平台的知识足迹。 📣 公众号“Swift社区”，每周定时推送干货满满的技术长文，从新兴框架的剖析到运维实战的复盘，助您技术进阶之路畅通无阻。 💬 微信端添加好友“fzhanfei”，与我直接交流，不管是项目瓶颈的求助，还是行业趋势的探讨，随时畅所欲言。 📅 最新动态：2025 年 3 月 17 日 快来加入技术社区，一起挖掘技术的无限潜能，携手迈向数字化新征程！

文章目录

• • 前言
  • 系统与安全基础配置
  • • 更新系统和基础工具
    • 创建非 root 用户
    • 配置防火墙和安全组
    • 设置时区
  • 推荐部署架构
  • • 推荐架构
    • 不推荐的做法
  • 组件选择
  • 一键自动化部署方案
  • • 为什么选择 Docker Compose
    • 安装 Docker
    • 项目目录结构
    • Docker Compose 配置示例
    • 一键启动
  • 上线前必须做的隐藏事项
  • • MySQL 独立账号
    • Python 日志切割
    • HTTPS 配置
  • 总结

前言

最近帮朋友部署一个项目到阿里云 ECS，配置是 2C4G + 1Mbps 带宽。本来以为很简单，结果踩了不少坑：防火墙没配置好被攻击、MySQL 用 root 用户导致安全问题、日志文件把磁盘占满了、时区不对导致数据时间错乱等等。

这些问题其实都是可以提前避免的，但很多人在上线前容易忽略这些细节。今天我们就来聊聊服务器上线前必须做的那些事，特别是对于 2C4G 这种配置的服务器，每一项都很关键。

系统与安全基础配置

上线前第一件事，就是做好系统的基础配置和安全设置。这些配置虽然看起来简单，但如果不做，后续会带来很多麻烦。

更新系统和基础工具

首先，我们需要更新系统到最新版本，并安装一些常用的基础工具。虽然这一步看起来可有可无，但实际上很重要。系统更新可以修复已知的安全漏洞，而基础工具在后续部署和维护中会经常用到。

sudo yum update -y
sudo yum install -y git vim wget curl unzip

yum update -y 会更新所有系统包到最新版本，-y 参数表示自动确认，不需要手动输入。安装的这些工具中，git 用于代码拉取，vim 用于编辑配置文件，wget 和 curl 用于下载文件，unzip 用于解压文件。

创建非 root 用户

这一步非常重要，但很多人容易忽略。直接用 root 用户部署应用是非常危险的做法，一旦应用被攻击，攻击者就获得了 root 权限，可以随意操作服务器。

adduser deploy
passwd deploy
usermod -aG wheel deploy

我们创建一个名为 deploy 的用户，专门用于部署和运行应用。usermod -aG wheel deploy 将 deploy 用户添加到 wheel 组，这样 deploy 用户就可以使用 sudo 命令来执行需要管理员权限的操作。

后续所有的部署、CI/CD 操作都应该使用 deploy 用户，而不是 root。这样可以大大降低安全风险。

配置防火墙和安全组

防火墙配置是安全的第一道防线，但很多人容易忽略。阿里云的安全组和服务器本身的防火墙都需要配置，这是双重保险。

阿里云安全组配置：

在阿里云控制台，我们需要配置安全组规则，至少只放行必要的端口：

• 22（SSH）：用于远程登录
• 80（HTTP）：用于 Web 服务
• 443（HTTPS）：用于加密的 Web 服务

特别要注意的是，MySQL 的 3306 端口不要对公网开放。如果需要在外部访问数据库，应该通过 SSH 隧道或者 VPN 的方式。

服务器防火墙配置：

除了安全组，我们还需要在服务器上配置防火墙：

sudo systemctl enable firewalld
sudo systemctl start firewalld

firewall-cmd –permanent –add-service=http
firewall-cmd –permanent –add-service=https
firewall-cmd –reload

systemctl enable firewalld 设置防火墙开机自启，systemctl start firewalld 启动防火墙服务。然后我们添加 HTTP 和 HTTPS 服务到防火墙规则中，–permanent 表示永久生效，firewall-cmd –reload 重新加载防火墙规则使配置生效。

设置时区

时区设置看起来是个小问题，但实际上很重要。如果时区不对，日志时间、数据库时间、应用时间都会错乱，排查问题时会很麻烦。

timedatectl set-timezone Asia/Shanghai

设置时区为上海时区（东八区），这样所有的时间记录都会使用正确的时区。这个设置会影响系统日志、MySQL 时间、Python 应用时间等所有时间相关的功能。

推荐部署架构

对于 2C4G 的服务器，我们需要选择一个省内存、稳定、可自动化的部署架构。资源有限的情况下，架构选择很重要。

推荐架构

对于这种配置的服务器，我推荐使用以下架构：

Nginx
├── React 前端（build 后的静态文件）
└── /api → Python 后端（Gunicorn / Uvicorn）
MySQL（本机 or RDS）

这个架构的优势是：

• 资源占用低：Nginx 作为反向代理，内存占用很小；前端是静态文件，不需要运行时；后端用 Gunicorn 或 Uvicorn，可以控制进程数
• 部署简单：前端打包后直接放到 Nginx，后端用进程管理器运行
• 易于扩展：后续如果需要，可以很容易地将 MySQL 迁移到 RDS，或者将后端扩展到多台服务器

不推荐的做法

在资源有限的情况下，有些做法是不推荐的：

• K8s：Kubernetes 本身就需要不少资源，2C4G 的服务器跑 K8s 会很吃力
• 微服务拆分：微服务需要更多的资源来运行多个服务实例
• 多个 MySQL 实例：一个 MySQL 实例已经会占用不少内存，多个实例会让服务器资源紧张
• 前端 Node 常驻运行：React 应用应该打包成静态文件，而不是用 Node 服务器运行

组件选择

选择合适的组件对于资源有限的服务器很重要。我们需要选择那些轻量级、稳定、易维护的组件。

这个组合的优势是资源占用低、稳定性好、易于维护。特别是 Docker Compose，可以让整个部署过程变得非常简单。

一键自动化部署方案

对于 2C4G 的服务器，我强烈推荐使用 Docker Compose 进行一键部署。这种方式不仅简单，而且易于回滚和迁移。

为什么选择 Docker Compose

Docker Compose 的优势在于：

• 资源占用可控：可以限制每个容器的资源使用
• 易于回滚：只需要切换镜像版本即可
• 易于迁移：配置文件可以轻松迁移到其他服务器
• CI/CD 友好：可以很容易地集成到 CI/CD 流程中

安装 Docker

首先，我们需要在服务器上安装 Docker：

curl -fsSL https://get.docker.com | bash
sudo systemctl enable docker
sudo systemctl start docker
sudo usermod -aG docker deploy

curl -fsSL https://get.docker.com | bash 使用官方脚本安装 Docker，systemctl enable docker 设置 Docker 开机自启，systemctl start docker 启动 Docker 服务，usermod -aG docker deploy 将 deploy 用户添加到 docker 组，这样 deploy 用户就可以不使用 sudo 来运行 Docker 命令。

项目目录结构

推荐的项目目录结构如下：

app/
├── docker-compose.yml
├── nginx/
│ └── default.conf
├── backend/
│ ├── Dockerfile
│ └── main.py
├── frontend/
│ ├── Dockerfile
│ └── build/
└── mysql/

这个结构清晰明了，每个组件都有自己的目录，配置文件也分开管理。

Docker Compose 配置示例

下面是一个精简版的 docker-compose.yml 配置：

version: "3.9"

services:
nginx:
image: nginx:stable
ports:
– "80:80"
volumes:
– ./nginx:/etc/nginx/conf.d
– ./frontend/build:/usr/share/nginx/html
depends_on:
– backend

backend:
build: ./backend
command: gunicorn main:app –w 2 –b 0.0.0.0:8000
environment:
– DB_HOST=mysql
depends_on:
– mysql

mysql:
image: mysql:8
environment:
MYSQL_ROOT_PASSWORD: rootpwd
MYSQL_DATABASE: appdb
volumes:
– ./mysql:/var/lib/mysql

这个配置定义了三个服务：

• nginx：使用官方 nginx 镜像，映射 80 端口，挂载 nginx 配置目录和前端构建目录
• backend：从 ./backend 目录构建，使用 Gunicorn 运行，设置 2 个 worker 进程
• mysql：使用 MySQL 8 镜像，设置 root 密码和数据库名，挂载数据目录

一键启动

配置好之后，只需要一条命令就可以启动整个应用：

docker compose up -d –build

-d 参数表示后台运行，–build 参数表示构建镜像。这条命令会启动所有服务，包括前端、后端和数据库。

上线前必须做的隐藏事项

除了上面这些明显的配置，还有一些隐藏但很关键的事项，如果不做，后续会带来很多问题。

MySQL 独立账号

很多人在部署时直接用 root 用户连接数据库，这是非常危险的做法。我们应该为应用创建独立的数据库用户：

CREATE USER 'app'@'%' IDENTIFIED BY 'strong_password';
GRANT ALL ON appdb.* TO 'app'@'%';
FLUSH PRIVILEGES;

这样即使应用被攻击，攻击者也只能访问应用数据库，而不能访问其他数据库或执行系统级操作。

Python 日志切割

Python 应用的日志如果不做切割，很快就会把磁盘占满。2C4G 的服务器通常只有 20GB 或 40GB 的磁盘，日志文件很容易占满。

我们可以使用 logrotate 来配置日志切割：

sudo vim /etc/logrotate.d/python-app

添加以下配置：

/path/to/app/logs/*.log {
daily
rotate 7
compress
delaycompress
missingok
notifempty
create 0644 deploy deploy
}

这个配置表示每天轮转日志，保留 7 天的日志，压缩旧日志，如果日志文件不存在也不报错。

HTTPS 配置

HTTPS 不是可选项，而是必须项。现在浏览器对 HTTP 网站会有安全警告，而且很多功能（如地理位置 API）只能在 HTTPS 下使用。

使用 Certbot 可以很容易地配置 HTTPS：

sudo yum install -y certbot python3-certbot-nginx
sudo certbot –nginx

Certbot 会自动配置 Nginx 的 SSL 证书，并且会自动续期。Let’s Encrypt 的证书是免费的，每 90 天自动续期一次。

总结

服务器上线前的准备工作虽然繁琐，但非常重要。系统更新、用户创建、防火墙配置、时区设置这些基础配置，以及 MySQL 独立账号、日志切割、HTTPS 配置这些隐藏事项，都是必须做的。

对于 2C4G 这种配置的服务器，选择合适的架构和组件也很重要。使用 Docker Compose 可以大大简化部署流程，而且易于管理和回滚。

做好这些准备工作，可以避免很多后续的问题，让服务器运行更加稳定可靠。