Docker环境下前端通过内部网络调用API的可行性及实现问询

预期合理性判断 #

你的预期不合理。核心原因：前端的API请求由用户浏览器发起，而浏览器不在Docker内部网络中，完全无法解析my-api:8080这个仅在Docker内部生效的域名——这就是你开启混合内容后出现域名解析错误的根源。另外，HTTPS页面加载HTTP资源会触发浏览器混合内容拦截，即便绕过该限制，浏览器也找不到my-api对应的IP，直接请求内部域名的路子走不通。

但你“让请求在内部网络流转”的核心需求是可以实现的，以下是可行方案：

可行实现方案 #

方案1：通过Traefik给后端配置子域名路由（复用SSL证书） #

利用Traefik反向代理的优势，给后端服务分配一个可外部解析的子域名（如api.example.com），由Traefik处理SSL终止后，将请求转发到Docker内部的后端服务：

• 给aspnet后端容器添加Traefik标签，配置路由规则：

  labels:
    - "traefik.enable=true"
    - "traefik.http.routers.my-api.rule=Host(`api.example.com`)"
    - "traefik.http.routers.my-api.entrypoints=websecure"
    - "traefik.http.routers.my-api.tls.certresolver=your-cert-resolver" # 复用前端的证书解析器
    - "traefik.http.services.my-api.loadbalancer.server.port=8080"
  

• 确保你的SSL证书覆盖api.example.com（通配符证书*.example.com可直接使用，非通配符证书需扩展包含该子域名）
• 前端请求地址改为https://api.example.com/api/endpoint，浏览器发HTTPS请求到Traefik，Traefik在Docker内部转发到后端，实现内部网络处理后端通信。

方案2：通过Nginx反向代理后端请求（同域名路径转发） #

修改前端Nginx容器的配置，将前端域名下的/api路径请求转发到内部后端服务：

• 在Nginx配置文件中添加反向代理规则：

  server {
      # 原有前端配置...
  
      location /api/ {
          proxy_pass http://my-api:8080/api/;
          proxy_set_header Host $host;
          proxy_set_header X-Real-IP $remote_addr;
          proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
      }
  }
  

• 前端请求直接使用相对路径/api/endpoint（或完整地址https://example.com/api/endpoint），浏览器发HTTPS请求到Nginx，Nginx在Docker内部将请求转发到后端，既避免混合内容错误，又实现内部网络的后端通信。

核心思路总结 #

浏览器只能访问外部可解析的域名/IP，必须通过Traefik或Nginx作为中间层，将外部HTTPS请求转发到Docker内部的后端服务——既满足浏览器的HTTPS安全要求，又能让后端请求在内部网络流转，达成你的核心需求。

内容的提问来源于stack exchange，提问作者Jakub