OpenBSD httpd反向代理gunicorn+uvicorn触发RemoteProtocolError非法请求行错误

根因说明 #

OpenBSD 系统自带的 base httpd 默认通过 Unix 套接字转发流量时使用 FastCGI 协议，而你当前部署的 gunicorn+uvicorn 后端默认监听的是 HTTP 协议请求，FastCGI 报文格式和 HTTP 完全不兼容，因此 h11 解析器无法识别请求结构，直接抛出illegal request line错误。

排查验证步骤 #

• 验证协议不匹配问题：停止 gunicorn 服务，执行以下命令监听对应 Unix 套接字打印流量内容：

  socat -x UNIX-LISTEN:/path/to/your_service.sock,fork -
  

  主动发起一次 HTTP 请求，若输出的十六进制流量以01 01开头，即可确认 httpd 转发的是 FastCGI 协议报文，不是 HTTP。
• 验证后端服务可用性：单独启动 uvicorn 监听本地 TCP 端口，用 curl 直接请求该端口，确认服务本身可正常处理 HTTP 请求，排除业务代码问题。
• 检查套接字权限：确认 Unix 套接字的读写权限对 httpd 运行用户（默认是www）开放，权限不足会导致流量截断，也可能引发同类解析错误。

解决方案 #

方案1：调整 httpd 配置走 HTTP 反向代理（推荐） #

OpenBSD 6.9 及以上版本的 httpd 已原生支持 HTTP 反向代理，直接修改/etc/httpd.conf配置即可，无需改动后端服务：

server "your.domain" {
  listen on * port 80
  # 可根据需求配置tls、root等其他参数
  location * {
    # 替换为你的Unix套接字路径，指定用HTTP协议转发
    proxy pass http://unix "/path/to/your_service.sock"
  }
}

配置修改完成后执行rcctl restart httpd重启服务即可生效。

方案2：后端开启 FastCGI 兼容模式 #

如果不想修改 httpd 原有配置，可调整 gunicorn/uvicorn 启动参数，开启 FastCGI 协议支持，启动命令示例：

# 替换为你自己的应用入口和套接字路径
gunicorn --fcgi --bind unix:/path/to/your_service.sock main:app --worker-class uvicorn.workers.UvicornWorker

启动后需再次确认套接字权限对www用户开放，避免 httpd 无法连接。

内容的提问来源于stack exchange，提问作者Kabira K