Github Webhook推送失败提示“EOF”，请求排查HAProxy相关问题

可能的原因及排查修复步骤 #

1. 先开启HAProxy日志获取关键信息 #

当前HAProxy无日志输出，无法定位连接中断的具体原因，先添加日志配置：

global
    log /dev/log local0
    log /dev/log local1 notice

frontend deploy
    # 保留原有配置，新增日志记录项
    option httplog
    log global

重启HAProxy后，查看系统日志（如/var/log/syslog或/var/log/haproxy.log），可获取Github请求的SSL握手、请求头、连接断开原因等细节。

2. 修复HAProxy SSL兼容性配置 #

Github Webhook请求的SSL/TLS版本、加密套件可能与当前HAProxy配置不匹配，导致握手失败提前断开（EOF通常对应连接意外中断）。修改frontend的bind配置：

bind :::8085 v4v6 ssl crt /etc/ssl/certificate.pem alpn http/1.1,h2 ssl-min-ver TLSv1.2 ssl-max-ver TLSv1.3 ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384

该配置明确指定兼容TLS1.2/1.3版本，以及Github常用的加密套件，避免SSL握手不兼容问题。

3. 调整HAProxy超时参数 #

当前超时设置可能不足以覆盖Github请求的处理周期，调整超时配置：

frontend deploy
    timeout client 60s
    timeout http-request 10s  # 新增，避免请求头/体处理超时

backend deploy_backend
    timeout server 60s

4. 验证HTTP/2兼容性 #

若配置了HTTP/2但HAProxy版本过低（需2.0+）或证书不符合HTTP/2要求，可能导致连接中断。可临时禁用HTTP/2测试：

bind :::8085 v4v6 ssl crt /etc/ssl/certificate.pem alpn http/1.1

若禁用后问题解决，需升级HAProxy版本或更换符合HTTP/2标准的SAN证书。

5. 检查请求头完整性 #

通过HAProxy日志确认Github请求的特殊头（如X-GitHub-Delivery、X-Hub-Signature-256）是否被正常转发，确保HAProxy未误删这些关键头。

验证流程 #

修改配置后重启HAProxy，手动触发Github Webhook，查看日志排查报错，同时对比本地模拟请求与Github请求的日志差异（如HTTP版本、请求头、 payload大小），快速定位差异点。

内容的提问来源于stack exchange，提问作者Cyril N.