如何远程访问Azure Web应用Docker容器中托管的Postgres数据库

Azure App Service 多容器部署模式本身存在硬限制：仅80、443两个HTTP/HTTPS端口可对公网暴露，你在compose里配置的5432、15433端口映射不会生效，这不是配置错误，是平台本身的规则限制。另外App Service的沙箱运行环境本来就不适合长期运行有状态的数据库服务，硬绕限制也会存在数据可靠性风险，可落地的方案按推荐优先级排序如下：

这是最符合Azure最佳实践的方案，完全绕开App Service的端口限制，同时解决容器跑数据库的可靠性问题：

• 直接创建Azure Database for PostgreSQL灵活服务器实例，平台自带备份、高可用、安全管控能力，默认支持配置公网/私网远程连接
• 操作步骤：
  • 创建实例时设置好管理员账号密码，在防火墙规则中添加你本地客户端的公网IP，放行本地连接
  • 删除原有docker-compose中的postgres服务定义，修改web服务的数据库连接字符串，指向托管Postgres的实例连接地址
  • 后续不管用pgAdmin还是其他数据库工具，直接填写托管库的地址、端口、账号密码即可远程连接，不需要额外做端口映射
• 注意：原postgres容器中存储的数据需要先导出生成备份文件，再导入到新的托管实例中，避免数据丢失。

如果你不想拆分现有部署结构，可以通过反向代理把所有请求收拢到80端口，通过路径分流到不同服务，不需要暴露额外端口：

• 核心调整逻辑：
  • 删除web、postgres、pgadmin三个服务的ports端口映射配置，所有服务仅保留在内部桥接网络中，不直接对外
  • 新增Nginx/Caddy这类反向代理服务，将容器的80端口绑定给反向代理，配置路由规则：
    • 根路径/的请求转发到webapi服务的80端口，保证原有接口正常访问
    • 固定路径（比如/pgadmin/）的请求转发到pgadmin服务的80端口，实现公网访问pgAdmin网页
• 对应Nginx反向代理的核心配置参考：

server {
    listen 80;
    server_name _;

    # 转发webapi请求
    location / {
        proxy_pass http://bootcampapi:80;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
    }

    # 转发pgadmin请求
    location /pgadmin/ {
        proxy_pass http://pgadmin:80/;
        proxy_set_header X-Script-Name /pgadmin;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
    }
}

• 注意：该方案仅支持通过公网域名的/pgadmin路径打开网页版pgAdmin操作数据库，不支持本地数据库客户端通过5432端口直连容器内的Postgres——App Service的平台代理仅转发HTTP/HTTPS流量，非HTTP的TCP流量无法暴露到公网。另外容器内运行的Postgres依赖App Service的临时存储卷，应用重启、扩容时存在数据丢失风险，仅适合临时测试场景，不要用于生产。

如果你需要同时暴露webapi、Postgres、pgAdmin的多个原生端口，保留和本地docker-compose完全一致的部署体验，直接放弃用App Service部署，换成支持多端口公网映射的容器服务即可：

• 测试场景可以选Azure容器实例（ACI），部署容器组时可以直接配置多个公网端口映射，5432、80、15433都可以直接绑定到公网IP，和本地运行逻辑一致
• 生产场景可以选Azure Kubernetes服务（AKS），配合负载均衡规则可以灵活配置多端口暴露、服务治理能力
• 注意：即使换了部署载体，直接在容器中运行生产数据库依然存在数据持久化、备份、高可用的运维成本，核心业务还是优先选托管数据库服务。

你当前的docker-compose配置存在一个会导致数据库异常的坑：postgres服务的环境变量PGDATA=database-data配置错误，PGDATA必须指定容器内的绝对路径，需要修改为PGDATA=/var/lib/postgresql/data/pgdata，否则容器重启时可能出现数据库初始化失败、数据丢失的问题。

如果选择反向代理方式访问pgAdmin，必须在代理配置中添加X-Script-Name请求头，否则pgAdmin的静态资源、接口请求会全部报404错误。

如果一定要公网暴露Postgres的5432端口，必须配置强密码、IP访问白名单，禁止开放全网访问，避免被扫描工具爆破拖库。

内容的提问来源于stack exchange，提问作者Minushka