PocketBase 反向代理配置最佳实践

前言

在使用PocketBase搭建后端服务时，很多开发者会选择通过Nginx等反向代理来对外提供服务。本文将详细介绍如何正确配置PocketBase与反向代理的协作，特别是关于HTTPS证书处理的注意事项。

核心问题分析

当PocketBase在指定域名参数启动时，会尝试自动获取Let's Encrypt证书，这需要直接绑定80和443端口。但在反向代理场景下，这两个端口通常已被Nginx占用，导致服务启动失败。

正确配置方案

1. 简化启动命令

在反向代理环境下，最简单的解决方案是不指定域名参数启动PocketBase：

# 使用默认端口(127.0.0.1:8090)
./pocketbase serve

# 或指定自定义端口
./pocketbase serve --http="127.0.0.1:6789"

2. 网络接口绑定说明

• 127.0.0.1：仅允许本地访问
• 0.0.0.0：允许所有IPv4接口访问

根据安全需求选择合适的绑定地址。

3. Nginx配置要点

反向代理配置需要确保正确传递以下头部信息：

location / {
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
    
    proxy_pass http://127.0.0.1:8090;
}

HTTPS证书处理策略

在反向代理架构中，推荐两种证书管理方式：

1. 由反向代理管理证书：Nginx处理HTTPS终止，PocketBase仅处理HTTP流量
2. 由PocketBase管理证书：需要确保PocketBase能直接绑定443端口

第一种方案更为常见且易于管理，特别是在已有证书管理工具的环境中。

性能优化建议

• 启用HTTP/2支持
• 适当调整proxy_read_timeout值
• 考虑启用连接保持(keep-alive)

总结

通过简化PocketBase的启动参数，将HTTPS证书管理工作交给反向代理，可以构建更稳定、更易维护的服务架构。这种分离关注点的设计也符合现代微服务架构的最佳实践。