如何通过Unix域套接字实现主机Nginx与容器uWSGI通信？

核心结论 #

用Docker卷挂载套接字目录是正确且推荐的方式，这样主机的Nginx和容器内的uWSGI能共享同一个Unix套接字文件，彻底避免端口暴露的问题。

1. 容器内uWSGI完整配置 #

修改uwsgi.ini，重点配置套接字路径与权限，确保主机Nginx可访问：

; uwsgi.ini in container
[uwsgi]
# 容器内的套接字路径，对应挂载的共享目录
socket = /var/run/uwsgi/uwsgi.sock
# 设置套接字权限，允许Nginx进程读取
chmod-socket = 666
# 绑定你的应用入口（根据框架调整，如Flask的app.py或Django的wsgi.py）
module = your_app:app
# 进程与线程数，按需调整
processes = 4
threads = 2
# 日志输出到挂载目录，方便主机查看
daemonize = /var/log/uwsgi/uwsgi.log

2. Docker部署配置（挂载共享目录） #

先在主机创建共享目录，再启动容器时挂载该目录到容器对应路径：

# 主机创建套接字与日志目录，设置Nginx用户权限
mkdir -p /var/run/uwsgi /var/log/uwsgi
chown www-data:www-data /var/run/uwsgi /var/log/uwsgi

# 启动Docker容器，挂载共享目录与应用代码
docker run -d \
  --name your-uwsgi-app \
  -v /var/run/uwsgi:/var/run/uwsgi \
  -v /var/log/uwsgi:/var/log/uwsgi \
  -v /path/to/your/local/app:/app \
  your-uwsgi-image-name

3. 主机Nginx完整配置 #

修正你之前配置的语法错误，添加必要的uWSGI参数：

# nginx on host
upstream prod_server {
    # 指向主机上的套接文件路径
    server unix:///var/run/uwsgi/uwsgi.sock;
}

server {
    listen 443 ssl http2;
    server_name example.domain.com;

    # 替换为你的SSL证书路径
    ssl_certificate /path/to/your/fullchain.pem;
    ssl_certificate_key /path/to/your/privkey.pem;

    location / {
        uwsgi_pass prod_server;
        # 传递请求上下文给uWSGI，必须包含
        include uwsgi_params;
    }
}

最佳实践 #

• 权限优化：比chmod-socket=666更安全的方式是在容器内创建www-data用户，设置chown-socket=www-data:www-data，避免全局可读的权限风险。
• 目录挂载优先：挂载整个套接字目录而非单个文件，避免Docker单个文件挂载的同步问题，稳定性更高。
• 彻底关闭端口映射：不再使用-p 8080:8080这类端口转发配置，从根源杜绝端口暴露。
• Docker Compose简化管理（可选）：如果需要多容器协作，用Compose配置更清晰：

version: '3.8'
services:
  uwsgi-app:
    build: .
    volumes:
      - /var/run/uwsgi:/var/run/uwsgi
      - /var/log/uwsgi:/var/log/uwsgi
      - ./app:/app
    # 无端口映射配置

内容的提问来源于stack exchange，提问作者lessness