AWS Elastic Beanstalk部署Node.js站点遇HTTPS端口权限错误求助

这个问题我之前帮别人排查过，核心原因其实是Unix/Linux系统的特权端口限制——1024以下的端口（包括443）只能由root用户绑定，而AWS Elastic Beanstalk运行Node.js应用时，默认用的是非root用户（通常是nodejs用户）启动进程，所以直接监听443端口必然触发权限拒绝错误。

下面给你几个可行的解决办法，按AWS最佳实践的推荐程度排序：

方案一：用Elastic Beanstalk负载均衡器处理SSL（强烈推荐） #

这是AWS官方最推荐的方式，既安全又省心，不用折腾EC2实例的权限：

1. 先在AWS Certificate Manager（ACM）中申请或导入覆盖你域名的SSL证书（确保证书在Elastic Beanstalk环境所在的区域）。
2. 进入Elastic Beanstalk控制台，找到你的环境 → 「配置」→ 「负载均衡器」：
   • 添加HTTPS监听，端口设为443，选择你在ACM中创建的证书，然后将流量转发到EC2实例的80端口（HTTP）。
3. 修改你的Node.js代码，监听Elastic Beanstalk指定的端口（通过环境变量process.env.PORT获取，默认可以 fallback 到80），不需要再处理HTTPS：

   const ipaddress = "0.0.0.0";
   const port = process.env.PORT || 80;
   const server = http.createServer(handleRequest); // 这里用http即可，负载均衡器已经处理了HTTPS
   server.listen(port, ipaddress, () => {
       console.log(`Server listening on port ${port}`);
   });
   

这样负载均衡器会帮你处理所有HTTPS请求，再转发到你的Node.js应用，完全避开特权端口的权限问题。

方案二：给Node.js授权绑定特权端口（不推荐，有安全风险） #

如果你一定要在EC2实例上直接监听443端口，可以通过setcap命令给Node.js二进制文件授予绑定特权端口的权限：

1. 在你的项目根目录创建.ebextensions文件夹，里面新建一个配置文件（比如01_setcap_nodejs.config），内容如下：

   commands:
     01_setcap_nodejs:
       command: setcap 'cap_net_bind_service=+ep' /usr/bin/node
   

2. 把.ebextensions目录和你的应用代码一起打包，部署到Elastic Beanstalk。
   这个方法虽然能解决问题，但会给Node.js进程额外的系统权限，存在安全隐患，所以除非特殊需求，不建议用。

方案三：自定义Nginx反向代理处理SSL #

Elastic Beanstalk的Node.js环境默认自带Nginx反向代理，你可以自定义Nginx配置，让它监听443端口处理SSL，再转发到Node.js应用的非特权端口（比如3000）：

1. 在项目根目录创建.ebextensions/nginx/conf.d/ssl.conf文件，内容示例（注意替换你的域名和证书路径）：

   server {
       listen 443 ssl;
       server_name your-domain.com;
   
       ssl_certificate /var/app/current/cert.pem; # 替换成你的证书实际路径
       ssl_certificate_key /var/app/current/key.pem; # 替换成你的私钥实际路径
   
       location / {
           proxy_pass http://127.0.0.1:3000;
           proxy_set_header Host $host;
           proxy_set_header X-Real-IP $remote_addr;
           proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
           proxy_set_header X-Forwarded-Proto $scheme;
       }
   }
   

2. 修改Node.js代码监听3000端口：

   const ipaddress = "127.0.0.1";
   const port = 3000;
   const server = http.createServer(handleRequest);
   server.listen(port, ipaddress, () => {
       console.log(`Server listening on port ${port}`);
   });
   

3. 把你的证书和私钥文件放到项目根目录，部署时会一起上传到EC2实例的/var/app/current目录。
   这个方法适合需要在实例层面处理SSL的场景，但配置相对繁琐，而且如果用ACM证书的话，无法直接下载到EC2实例，所以不如方案一灵活。

内容的提问来源于stack exchange，提问作者Gordon Truslove