NestJS后端本地SSL正常，部署至Google Cloud后返回服务不可用

核心问题梳理 #

本地运行时连接线上数据库正常，但部署至Google Cloud后API返回503（Service Unavailable），且SSL握手成功但服务无响应；本地启动存在DEP0123 TLS弃用警告。

可能原因及对应解决步骤 #

1. Google Cloud服务端应用未正常启动

503由Google Frontend返回，说明负载均衡无法连接到后端应用，大概率是应用启动失败：

• 查看GCP服务（Cloud Run/Compute Engine）的日志，重点检查数据库连接报错、端口监听异常等信息
• 确认GCP服务配置的监听端口与NestJS应用的端口一致（默认3000），避免端口不匹配导致无法转发请求
• 移除main.ts中的自定义HTTPS配置：GCP负载均衡/Cloud Run会自动提供SSL证书并处理HTTPS终止，应用仅需以HTTP协议监听内部端口即可，自定义HTTPS易导致端口冲突或证书信任问题

  // 修改后的main.ts启动代码
  const app = await NestFactory.create(AppModule);
  await app.listen(process.env.PORT || 3000);
  

2. 数据库连接配置问题

部署环境下数据库连接失败会直接导致应用启动异常：

• 检查GCP环境变量NODE_IS_LOCAL、NODE_ENV是否正确设置，确保sslCertificateFolder路径指向正确的证书文件
• 确认部署镜像中已正确打包certificate文件夹（如Docker部署需添加COPY certificate/ certificate/指令）
• 若使用GCP Cloud SQL，推荐使用Unix Socket连接替代SSL证书，更稳定且无需手动配置证书：

  // TypeORM配置修改示例
  return {
    type: 'mysql',
    host: `/cloudsql/${configService.get('DB_INSTANCE_CONNECTION_NAME')}`,
    port: 3306,
    // 其他配置保持不变
    ssl: false, // Unix Socket无需SSL
  };
  

3. DEP0123弃用警告处理

该警告因TLS ServerName设置为IP地址违反RFC规范导致：

• 若数据库使用域名连接，在TypeORM的SSL配置中添加servername属性：

  ssl: sslCertificateFolder ? {
    rejectUnauthorized: false,
    ca: fs.readFileSync(`./certificate/${sslCertificateFolder}/server-ca.pem`).toString(),
    key: fs.readFileSync(`./certificate/${sslCertificateFolder}/client-key.pem`).toString(),
    cert: fs.readFileSync(`./certificate/${sslCertificateFolder}/client-cert.pem`).toString(),
    servername: configService.get('DB_HOST') // 添加此项，用域名作为ServerName
  } : undefined
  

• 若必须使用IP连接，可暂时忽略警告，但长期建议切换为数据库域名

4. 防火墙与网络规则检查

• 确认GCP防火墙规则允许后端服务访问数据库端口（默认3306）
• 检查Cloud SQL的授权网络是否包含后端服务的IP地址或VPC网络

内容的提问来源于stack exchange，提问作者rajesh parmar