如何通过Nginx让Haskell Servant API端点基于HTTPS运行？

你的这个实现方案完全是可行的，不过在实际生产环境中，我们通常有两种主流部署方式，你可以根据自身场景选择更合适的方案：

1. 你当前的Servant直接处理HTTPS方案 #

你在Production分支使用runTLS的逻辑是正确的——因为Servant基于WAI生态，runTLS正是WAI提供的直接启动HTTPS服务的标准方法，只要你的证书路径正确、权限配置没问题，这个方案就能正常跑起来。

• 优点：架构简单，少了一层反向代理的开销和潜在故障点，适合小型服务或快速测试场景。
• 缺点：HTTPS相关的配置（比如证书更新、加密套件、协议版本）都需要在Haskell代码里调整，灵活性不足；如果后续需要扩展负载均衡、静态资源托管等能力，会比较麻烦。

2. 生产环境更推荐的Nginx反向代理方案 #

这是大多数生产服务的标准做法：让Servant只专注于处理HTTP业务请求（监听本地端口，避免直接暴露到公网），把HTTPS的处理交给Nginx来做，再由Nginx将请求转发给Servant。

步骤说明： #

（1）调整Servant代码

Production分支改为运行普通HTTP服务，监听本地IP（比如127.0.0.1），避免直接对外暴露：

Production -> run (setPort port $ setHost (Host "127.0.0.1") defaultSettings) (corsWithContentType $ app cfg)

（2）配置Nginx处理HTTPS

示例Nginx配置如下：

server {
    listen 443 ssl;
    server_name your-domain.com; # 替换成你的域名

    # 指定证书和私钥路径
    ssl_certificate /path/to/fullchain1.pem;
    ssl_certificate_key /path/to/privkey1.pem;

    # 可选：配置更安全的HTTPS参数
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;
    ssl_prefer_server_ciphers on;

    # 将请求转发给本地的Servant服务
    location / {
        proxy_pass http://127.0.0.1:8080; # 替换成Servant监听的端口
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme; # 让Servant知道请求是来自HTTPS
    }
}

• 优点：
  • Nginx是专门做反向代理和HTTPS处理的工具，配置灵活——更新证书只需替换文件后重载Nginx，不用重启Servant服务；
  • 可以轻松扩展负载均衡、限流、静态资源托管等能力；
  • Servant可以专注于业务逻辑，不用关心HTTPS相关的细节。
• 缺点：多了一层Nginx的维护成本，但这在生产环境中是完全值得的。

总结 #

如果是小型测试服务或者快速验证场景，你当前的runTLS方案完全够用；但如果是正式生产环境，更推荐使用Nginx反向代理的方式，这更符合运维最佳实践，也能让你的服务更稳定、更易扩展。

内容的提问来源于stack exchange，提问作者Donna