证书、反代和静态资源，往往先经过这一层再到达应用。
访客敲下域名，请求很少直接砸在应用进程上。Nginx 先接手：认主机名、选证书、决定是自己返回文件还是转给后面的服务。这层配错，后面写得再对也出不了门。
一个主机名对应一套规则。默认站、HTTPS 站和后台站要分开，避免证书和路由串台。
路径匹配决定文件从哪读、接口往哪转。前缀、精确和正则的优先级一旦搞反，页面会打开错误的后端。
proxy_pass 把请求交给应用。Host、协议和真实 IP 头要一起转，应用才能知道用户从哪来。
证书、私钥和中间链要齐。只配了满期提醒却忘了自动续，访客会在锁标志消失那天全部涌进客服。
图片和脚本可以直接出，应用就去忙动态请求。体积限制和连接数保护的是后面那台机器，不是装饰。