如何仅允许前端容器访问后端容器？Docker部署配置咨询

当前问题梳理 #

• 后端容器可被Postman直接访问，违反「仅允许前端通过Nginx反向代理访问后端」的需求
• 前端构建文件挂载到Nginx容器后，前端容器自动停止
• 疑问：是否可以在前端容器内运行Nginx服务，让主Nginx容器路由到该前端Nginx？

一、解决后端公网可访问的问题 #

当前你的backend服务在docker-compose中没有配置ports字段，这是正确的，但仍能被外部访问的原因可能是旧容器残留、后端应用监听配置未做限制，或Docker网络未做隔离。彻底解决需两步：

1. 清理旧容器并重新部署
   执行docker-compose down -v清理旧容器和卷，再重新启动，避免旧配置残留。

2. 用Docker网络隔离后端
   创建专属内部网络，让backend和db仅在内部网络通信，仅允许主Nginx跨网络访问后端。修改后的docker-compose片段：

networks:
  internal:
    internal: true # 该网络仅容器间可访问，外部无法直接连接
  external:
    driver: bridge

services:
  backend:
    # ... 其他配置不变
    networks:
      - internal
  db:
    # ... 其他配置不变
    networks:
      - internal
  nginx:
    # ... 其他配置不变
    networks:
      - external # 对外提供服务
      - internal # 可访问后端

同时修改后端应用的ALLOWED_HOSTS为nginx，仅接受来自主Nginx的请求。

二、前端容器停止的问题 #

你的前端容器是作为「构建容器」使用的——构建完成后没有持续运行的进程，自然会退出，这是正常行为。如果要让前端容器持续运行，就需要在容器内启动一个服务（比如Nginx），这正好对应你的第三个疑问。

三、前端容器运行Nginx，主Nginx路由过去是否可行？ #

完全可行，这是一种标准化的微服务部署模式，优势在于前端可独立管理自身的Nginx配置（如SPA路由、缓存策略），主Nginx作为统一入口负责流量分发。

具体实现步骤 #

1. 修改前端Dockerfile.prod，让容器运行Nginx

# 构建阶段：生成前端静态文件
FROM node:18-alpine AS builder
WORKDIR /app
COPY package*.json ./
RUN npm install
COPY . .
RUN npm run build

# 运行阶段：用Nginx服务静态文件
FROM nginx:alpine
COPY --from=builder /app/dist /usr/share/nginx/html
# 可自定义前端Nginx配置（比如处理SPA路由）
COPY nginx.conf /etc/nginx/conf.d/default.conf
EXPOSE 80
CMD ["nginx", "-g", "daemon off;"]

2. 修改主Nginx的default.conf，路由前端请求到前端容器

upstream backend_servers {
    server backend:8000;
}

upstream frontend_servers {
    server frontend:80; # 指向前端容器的Nginx服务
}

server {
    listen 80;

    # 前端请求路由到前端容器Nginx
    location / {
        proxy_pass http://frontend_servers;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }

    # 后端API请求反向代理
    location /api {
        rewrite ^/api(.*) $1 break;
        uwsgi_pass backend_servers;
        include /etc/nginx/uwsgi_params;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

3. 调整docker-compose文件
   去掉前端容器的卷挂载（因为前端Nginx直接服务构建后的文件），确保前端容器加入外部网络，让主Nginx能访问到它：

services:
  frontend:
    build:
      context: ./frontend
      dockerfile: Dockerfile.prod
    networks:
      - external
    # 移除原volumes配置，无需挂载到主Nginx

调整后，所有公网请求都通过主Nginx进入，前端请求转发到前端容器的Nginx，后端请求转发到内部网络的后端服务，彻底杜绝后端被公网直接访问的可能。

内容的提问来源于stack exchange，提问作者swamper