修改AWS RDS安全组入站规则后访问网站返回502错误如何解决？

核心原因 #

• 你的Express服务端在启动阶段就会初始化RDS数据库连接，而非等到API请求触发时才建立连接。RDS安全组收紧后，EC2实例无法成功连接RDS，未捕获的连接异常会直接导致Express进程崩溃，你配置的反向代理（Nginx/Apache等）无法和上游Express服务通信，就会给所有请求返回502响应，和前端是否调用数据库API无关。

常见排查点 #

• 确认你在RDS安全组中填写的EC2 IP是正确的：如果EC2没有绑定固定弹性公网IP（EIP），重启后公网IP会自动变更，之前配置的规则会直接失效；如果EC2和RDS在同一个VPC内，EC2默认会通过内网IP访问RDS，你仅放通EC2公网IP的话，内网访问流量会被安全组拦截，这是最高发的配置错误。
• 登录EC2实例，查看Express服务的运行日志，你会看到明确的数据库连接超时/拒绝报错，可以直接验证连接失败的问题。

修复方案 #

• 优先使用安全组引用配置RDS入站规则：不需要填写任何IP，直接在RDS安全组的入站规则中，允许EC2关联的安全组ID访问RDS的数据库端口（MySQL默认3306，PostgreSQL默认5432），只要是绑定了对应安全组的实例都可以访问RDS，不受EC2 IP变更影响，安全性也更高。
• 如果你必须使用IP配置规则，先在EC2上执行curl https://ifconfig.me获取EC2的公网出口IP，再把该IP添加到RDS安全组的入站规则中，同时确认RDS已经开启了公网访问配置。
• 补充Express服务的全局异常捕获逻辑，添加数据库连接失败的降级处理，避免因DB连接异常直接导致整个服务进程退出。

内容的提问来源于stack exchange，提问作者BOBOB