Docker容器中Express应用仅允许域名访问的配置问题

你遇到的问题本质是Docker容器的网络隔离特性导致的：当你在Express里绑定localhost时，这个localhost是容器内部的回环地址，宿主机或者其他服务（比如你的Nginx）根本无法穿透容器网络访问到它。而如果直接绑定0.0.0.0并把端口映射到宿主机公网接口，又会导致用户能通过IP直接访问应用。

下面分两种最常见的部署场景，给你一步步的解决方案：

场景1：Nginx运行在宿主机上 #

步骤1：修改Express监听地址 #

把你的代码改成监听容器内的0.0.0.0，这样容器内所有网络接口都能接收请求：

app.listen(4000, '0.0.0.0', () => {
  console.log('Server running on port 4000 inside container');
});

步骤2：限制Docker端口映射到宿主机localhost #

启动容器时，不要把端口直接映射到宿主机的所有IP（比如-p 3000:4000），而是只映射到宿主机的回环地址，这样只有宿主机本地的服务（比如Nginx）能访问容器端口：

docker run -d -p 127.0.0.1:4000:4000 your-node-app-image

这样外部用户直接访问http://your-server-ip:4000会直接连接失败，因为端口只绑定在宿主机内部。

步骤3：配置Nginx反向代理并限制域名 #

编辑你的Nginx配置文件，添加以下规则，只允许指定域名的请求转发到Express应用：

server {
    listen 80;
    # 替换成你的目标域名
    server_name your-domain.com;

    location / {
        proxy_pass http://localhost:4000;
        # 传递Host头给Express，确保应用能识别域名
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
    }

    # 阻止非指定域名的请求（比如直接用IP访问）
    if ($host != 'your-domain.com') {
        return 403 Forbidden;
    }
}

修改完成后，重载Nginx配置生效：

sudo nginx -s reload

场景2：Nginx和Express都在Docker容器中（推荐用Docker Compose） #

这种方式更符合容器化部署的最佳实践，两个服务通过自定义Docker网络通信，完全不需要暴露Express的端口到宿主机外部。

步骤1：编写Docker Compose配置 #

创建docker-compose.yml文件：

version: '3.8'
services:
  node-app:
    build: ./your-node-app-directory
    # 自定义网络，和Nginx互通
    networks:
      - internal-app-network
    # 同样要确保Express监听0.0.0.0
    command: node app.js

  nginx:
    image: nginx:alpine
    ports:
      - "80:80"
    volumes:
      # 挂载自定义Nginx配置文件
      - ./nginx.conf:/etc/nginx/conf.d/default.conf
    networks:
      - internal-app-network

# 自定义桥接网络，确保服务间安全通信
networks:
  internal-app-network:
    driver: bridge

步骤2：配置Nginx反向代理 #

创建nginx.conf文件，配置规则指向Express容器（用容器名node-app作为地址）：

server {
    listen 80;
    server_name your-domain.com;

    location / {
        # 通过容器名访问Express服务，Docker会自动解析DNS
        proxy_pass http://node-app:4000;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
    }

    # 同样阻止非指定域名的请求
    if ($host != 'your-domain.com') {
        return 403 Forbidden;
    }
}

步骤3：启动服务 #

在目录下执行命令启动所有服务：

docker-compose up -d

验证效果 #

1. 尝试直接访问http://your-server-ip:4000（如果是场景2，这个端口根本没暴露，会直接连接失败），应该得到连接拒绝或403错误。
2. 访问http://your-domain.com，应该能正常加载你的Express应用。

内容的提问来源于stack exchange，提问作者charsi