注本文在大模型辅助下完成。2026年2月NGINX官方博客发布了一篇颇为罕见的技术文章《The Complex Dance of Lua and NGINX: Power, Pitfalls, and Performance Challenges》。文章没有宣传新功能也没有介绍最佳实践而是系统梳理了Lua嵌入NGINX后可能带来的稳定性、性能和安全风险。对于长期关注网关架构演进的人来说这篇文章真正值得关注的并不是Lua本身而是它折射出的一个更深层次的问题现代网关究竟应该走脚本驱动路线还是编译型路线这不仅是OpenResty与BFE之间的差异也是过去十年乃至未来十年网关架构持续演进的核心方向。原文链接The Complex Dance of Lua and NGINX: Power, Pitfalls, and Performance Challenges一、为什么NGINX官方突然开始讨论Lua风险过去十多年里Lua几乎成为NGINX生态最成功的扩展机制之一。借助OpenResty提供的Lua运行时能力开发者可以在请求处理链路中动态实现路由决策灰度发布限流熔断鉴权认证动态配置流量治理在这种模式下NGINX从一个反向代理逐渐演化为一个可编程平台。也正因为如此诞生了一批著名的网关产品KongApache APISIXingress-nginx多家互联网公司的自研网关Lua给网关带来了前所未有的灵活性。但与此同时也把脚本语言运行时引入到了整个流量入口层。而流量入口恰恰又是系统中最敏感、影响面最大的基础设施之一。于是一个长期存在但经常被忽视的问题开始浮现当灵活性与可预测性发生冲突时网关应该优先选择哪一个NGINX官方这篇文章本质上是在回答这个问题。二、NGINX官方总结的六类风险文章系统总结了Lua嵌入NGINX后常见的六类问题。1. 请求生命周期错乱NGINX采用严格的阶段化处理模型rewrite ↓ access ↓ content ↓ header filter ↓ body filter ↓ logLua可以插入其中任何阶段。但如果在中间阶段提前退出可能导致日志记录异常Header状态不一致请求变量失效后续模块行为异常NGINX官方特别指出一个极易被忽略的细节在access_by_lua阶段使用ngx.exit(200)会中断后续的请求处理阶段如 content、balancer但不会中断响应处理阶段如 header filter、body filter、logging。这意味着请求已经结束但日志可能没记、Header可能泄露——这种问题往往在线上运行很久才会被发现排查极为困难。2. 共享运行时带来的并发风险Lua运行在Worker共享VM中。官方特别强调全局变量污染多个请求可能共享同一个状态。阻塞Worker错误使用标准Lua I/O会阻塞整个Worker。NGINX官方原文使用了极为严厉的措辞使用标准Lua I/O是Lua嵌入NGINX的头号大罪Cardinal Sin会直接导致整台网关实例的所有并发请求出现高延迟和超时。Cosocket泄漏连接管理不当会造成资源泄漏。一个常见场景是超时或错误发生后cosocket连接未能正确释放回keepalive池下一个请求可能拿到过期或损坏的连接。这些问题都会直接影响整台网关实例。3. 动态配置系统复杂度失控以ingress-nginx为例。大量动态逻辑通过Lua实现。可能出现shared dict耗尽reload频繁抖动worker回收异常僵尸进程积累NGINX官方特别警告Lua驱动的频繁动态更新可能导致NGINX master进程无法正确回收worker子进程导致僵尸进程在宿主机上持续累积消耗系统资源并使进程管理复杂化。系统规模越大问题越明显。4. 内存泄漏与负载倾斜官方提到Lua闭包泄漏第三方模块泄漏Pod热点问题这些问题不会立刻暴露。但会在长期运行中逐渐放大。5. 配置注入与安全漏洞官方引用了多个ingress-nginx历史漏洞。包括CVE-2021-25742CVE-2025-1097CVE-2025-1098CVE-2025-24514共同特点都是配置最终被解释执行。当配置变成代码时攻击面也随之扩大。NGINX官方详细分析了CVE-2021-25742的攻击链用户通过自定义代码片段注解注入任意Lua代码获取ingress-nginx服务账户令牌进而访问集群中所有命名空间的Secret实现对整个Kubernetes集群的接管。这充分说明当配置变成可执行代码并且受用户输入影响时传统的安全边界就会失效。6. 第三方生态稳定性不可控Lua生态丰富。但同时也意味着版本兼容问题模块质量差异运维复杂度增加基础设施系统需要长期稳定运行而不是快速迭代。这是两种不同的诉求。三、这其实是两条不同的网关技术路线很多人看完NGINX文章后会得出一个简单结论Lua有问题。实际上并不准确。真正值得关注的是网关领域一直存在两条不同的技术路线。路线一脚本驱动型网关代表项目OpenRestyKongApache APISIXingress-nginx核心思想保持内核简单高效将业务能力放到脚本层实现。优势非常明显功能开发快灵活性高扩展成本低很多互联网公司都从这条路线获益。但代价同样存在调试复杂状态难追踪故障边界模糊运维成本逐渐增加随着系统规模扩大这些问题会越来越明显。路线二编译型网关代表项目EnvoyMOSNBFE核心思想则完全不同尽可能将问题暴露在编译期和配置加载阶段。特点包括强类型显式依赖声明式配置严格生命周期管理优势行为可预测故障边界清晰更适合大规模基础设施代价灵活性下降开发成本更高扩展周期更长本质上这是另一种工程权衡。四、为什么连Envoy也在降低脚本的重要性很多人会问既然Lua这么灵活为什么近年来越来越多大型平台选择Envoy原因很简单。Envoy虽然支持Lua Filter。但Lua从来不是其核心设计。Envoy真正强调的是声明式配置数据面稳定性类型安全可观测性Lua只是补充能力。而不是核心能力。事实上近年来Envoy社区投入更多精力的是WASMxDSGateway APIService Mesh而不是进一步强化Lua。这背后体现的是同一种思路流量入口层应该尽量减少不可预测行为。从这个角度看NGINX官方文章与Envoy的发展方向其实是一致的。五、BFE的选择追求可预测性BFE从设计之初就做出了一个选择网关首先是基础设施其次才是应用平台。因此BFE更关注稳定性可预测性故障隔离长周期运维成本而不是运行时脚本能力。这也是为什么BFE采用Go实现核心逻辑声明式配置编译型插件体系其目标并不是证明Go优于Lua。而是尽可能减少运行时的不确定因素。例如当配置加载时类型检查已经完成依赖关系已经确定生命周期已经明确而不是等到生产流量进入后才发现问题。对于基础设施而言越早发现问题代价越低。一个具体的例子2021年B站那场著名的网关事故根因是一个字符串0被错误地当成数值0使用导致Lua代码进入死循环所有Worker CPU 100%、全站雪崩。在BFE的Go实现中这种类型不匹配在编译阶段就会被拒绝根本不可能在生产环境触发。这正是将问题暴露在编译期的实际价值。六、基础设施的第一原则可预测性过去很多年里行业一直在追求灵活性。从脚本语言到动态配置。从热更新到运行时扩展。这些技术推动了业务创新。但随着系统规模不断扩大另一个问题开始变得越来越重要当一个组件承载全站流量时它是否仍然能够被预测对于业务系统灵活性通常更重要。对于基础设施可预测性往往更重要。对于普通应用运行时扩展是优势。对于网关运行时扩展本身就可能成为风险源。对于单个服务一次故障影响有限。对于流量入口一次故障可能影响整个系统。因此网关架构的演进方向最终不是追求无限灵活而是在灵活性和可预测性之间寻找平衡。七、一个值得关注的行业趋势如果回顾过去十年的网关发展历程会发现一个有趣的现象。早期行业关注的是如何更快扩展功能如何动态编程如何减少Reload而近年来越来越多项目开始关注类型安全声明式配置编译期校验故障隔离沙箱执行无论是EnvoyGateway APIService MeshWASM扩展体系还是新兴的AI Gateway都在朝着同一个方向演进将不可预测行为限制在更小的范围内。从这个意义上说NGINX官方这篇文章讨论的并不仅仅是Lua。它反映的是整个基础设施行业正在发生的一种转变从追求灵活性重新回到追求可预测性。结语NGINX官方这篇文章的结尾用了一个极为精妙的比喻将Lua集成到NGINX中就像是在赛车仍在运行时对其进行手术。赛车为速度而设计要求一切操作都是非阻塞且即时的但如果技师使用标准、慢速的工具或在发动机舱内留下散落的零件整辆车就会熄火或撞毁。这个比喻精准地描述了动态脚本语言嵌入基础设施核心的风险。NGINX官方的这篇文章并不是对Lua的否定。Lua依然是一门优秀的语言。OpenResty依然是极具影响力的基础设施项目。但对于承担全站入口职责的网关而言一个越来越清晰的共识正在形成最大的风险往往不是功能缺失而是不可预测。当系统规模不断扩大、业务越来越依赖基础设施时稳定、可控制、可预期的重要性正在重新超过灵活性。而这也许正是未来十年网关架构演进最值得关注的方向。参考与延伸阅读原文The Complex Dance of Lua and NGINX: Power, Pitfalls, and Performance ChallengesNGINX 官方博客2026 年 2 月, https://blog.nginx.org/blog/the-complex-dance-of-lua-and-nginx-power-pitfalls-and-performance-challengesBFE 开源项目https://github.com/bfenetworks/bfe相关阅读《B站网关事故背后OpenResty 与 Lua 的稳定性代价》作者简介章淼博士1994年进入清华大学计算机科学与技术系学习2004年获得博士学位2004年至2006年在清华大学留校任教在清华期间曾参与中国第一代核心路由器的研制工作。2012年起在百度工作超过十年聚焦云网络基础架构的研发工作是BFE开源项目的发起人。在百度期间积极推动软件工程能力提升曾担任百度代码规范委员会主席2021年10月被授予百度代码规范委员会荣誉主席。2022年出版《代码的艺术用工程思维驱动软件开发》。2023年4月起担任瑛菲网络CEO聚焦研发面向云和大模型场景的现代化流量管理平台。
注本文在大模型辅助下完成。2026年2月NGINX官方博客发布了一篇颇为罕见的技术文章《The Complex Dance of Lua and NGINX: Power, Pitfalls, and Performance Challenges》。文章没有宣传新功能也没有介绍最佳实践而是系统梳理了Lua嵌入NGINX后可能带来的稳定性、性能和安全风险。对于长期关注网关架构演进的人来说这篇文章真正值得关注的并不是Lua本身而是它折射出的一个更深层次的问题现代网关究竟应该走脚本驱动路线还是编译型路线这不仅是OpenResty与BFE之间的差异也是过去十年乃至未来十年网关架构持续演进的核心方向。原文链接The Complex Dance of Lua and NGINX: Power, Pitfalls, and Performance Challenges一、为什么NGINX官方突然开始讨论Lua风险过去十多年里Lua几乎成为NGINX生态最成功的扩展机制之一。借助OpenResty提供的Lua运行时能力开发者可以在请求处理链路中动态实现路由决策灰度发布限流熔断鉴权认证动态配置流量治理在这种模式下NGINX从一个反向代理逐渐演化为一个可编程平台。也正因为如此诞生了一批著名的网关产品KongApache APISIXingress-nginx多家互联网公司的自研网关Lua给网关带来了前所未有的灵活性。但与此同时也把脚本语言运行时引入到了整个流量入口层。而流量入口恰恰又是系统中最敏感、影响面最大的基础设施之一。于是一个长期存在但经常被忽视的问题开始浮现当灵活性与可预测性发生冲突时网关应该优先选择哪一个NGINX官方这篇文章本质上是在回答这个问题。二、NGINX官方总结的六类风险文章系统总结了Lua嵌入NGINX后常见的六类问题。1. 请求生命周期错乱NGINX采用严格的阶段化处理模型rewrite ↓ access ↓ content ↓ header filter ↓ body filter ↓ logLua可以插入其中任何阶段。但如果在中间阶段提前退出可能导致日志记录异常Header状态不一致请求变量失效后续模块行为异常NGINX官方特别指出一个极易被忽略的细节在access_by_lua阶段使用ngx.exit(200)会中断后续的请求处理阶段如 content、balancer但不会中断响应处理阶段如 header filter、body filter、logging。这意味着请求已经结束但日志可能没记、Header可能泄露——这种问题往往在线上运行很久才会被发现排查极为困难。2. 共享运行时带来的并发风险Lua运行在Worker共享VM中。官方特别强调全局变量污染多个请求可能共享同一个状态。阻塞Worker错误使用标准Lua I/O会阻塞整个Worker。NGINX官方原文使用了极为严厉的措辞使用标准Lua I/O是Lua嵌入NGINX的头号大罪Cardinal Sin会直接导致整台网关实例的所有并发请求出现高延迟和超时。Cosocket泄漏连接管理不当会造成资源泄漏。一个常见场景是超时或错误发生后cosocket连接未能正确释放回keepalive池下一个请求可能拿到过期或损坏的连接。这些问题都会直接影响整台网关实例。3. 动态配置系统复杂度失控以ingress-nginx为例。大量动态逻辑通过Lua实现。可能出现shared dict耗尽reload频繁抖动worker回收异常僵尸进程积累NGINX官方特别警告Lua驱动的频繁动态更新可能导致NGINX master进程无法正确回收worker子进程导致僵尸进程在宿主机上持续累积消耗系统资源并使进程管理复杂化。系统规模越大问题越明显。4. 内存泄漏与负载倾斜官方提到Lua闭包泄漏第三方模块泄漏Pod热点问题这些问题不会立刻暴露。但会在长期运行中逐渐放大。5. 配置注入与安全漏洞官方引用了多个ingress-nginx历史漏洞。包括CVE-2021-25742CVE-2025-1097CVE-2025-1098CVE-2025-24514共同特点都是配置最终被解释执行。当配置变成代码时攻击面也随之扩大。NGINX官方详细分析了CVE-2021-25742的攻击链用户通过自定义代码片段注解注入任意Lua代码获取ingress-nginx服务账户令牌进而访问集群中所有命名空间的Secret实现对整个Kubernetes集群的接管。这充分说明当配置变成可执行代码并且受用户输入影响时传统的安全边界就会失效。6. 第三方生态稳定性不可控Lua生态丰富。但同时也意味着版本兼容问题模块质量差异运维复杂度增加基础设施系统需要长期稳定运行而不是快速迭代。这是两种不同的诉求。三、这其实是两条不同的网关技术路线很多人看完NGINX文章后会得出一个简单结论Lua有问题。实际上并不准确。真正值得关注的是网关领域一直存在两条不同的技术路线。路线一脚本驱动型网关代表项目OpenRestyKongApache APISIXingress-nginx核心思想保持内核简单高效将业务能力放到脚本层实现。优势非常明显功能开发快灵活性高扩展成本低很多互联网公司都从这条路线获益。但代价同样存在调试复杂状态难追踪故障边界模糊运维成本逐渐增加随着系统规模扩大这些问题会越来越明显。路线二编译型网关代表项目EnvoyMOSNBFE核心思想则完全不同尽可能将问题暴露在编译期和配置加载阶段。特点包括强类型显式依赖声明式配置严格生命周期管理优势行为可预测故障边界清晰更适合大规模基础设施代价灵活性下降开发成本更高扩展周期更长本质上这是另一种工程权衡。四、为什么连Envoy也在降低脚本的重要性很多人会问既然Lua这么灵活为什么近年来越来越多大型平台选择Envoy原因很简单。Envoy虽然支持Lua Filter。但Lua从来不是其核心设计。Envoy真正强调的是声明式配置数据面稳定性类型安全可观测性Lua只是补充能力。而不是核心能力。事实上近年来Envoy社区投入更多精力的是WASMxDSGateway APIService Mesh而不是进一步强化Lua。这背后体现的是同一种思路流量入口层应该尽量减少不可预测行为。从这个角度看NGINX官方文章与Envoy的发展方向其实是一致的。五、BFE的选择追求可预测性BFE从设计之初就做出了一个选择网关首先是基础设施其次才是应用平台。因此BFE更关注稳定性可预测性故障隔离长周期运维成本而不是运行时脚本能力。这也是为什么BFE采用Go实现核心逻辑声明式配置编译型插件体系其目标并不是证明Go优于Lua。而是尽可能减少运行时的不确定因素。例如当配置加载时类型检查已经完成依赖关系已经确定生命周期已经明确而不是等到生产流量进入后才发现问题。对于基础设施而言越早发现问题代价越低。一个具体的例子2021年B站那场著名的网关事故根因是一个字符串0被错误地当成数值0使用导致Lua代码进入死循环所有Worker CPU 100%、全站雪崩。在BFE的Go实现中这种类型不匹配在编译阶段就会被拒绝根本不可能在生产环境触发。这正是将问题暴露在编译期的实际价值。六、基础设施的第一原则可预测性过去很多年里行业一直在追求灵活性。从脚本语言到动态配置。从热更新到运行时扩展。这些技术推动了业务创新。但随着系统规模不断扩大另一个问题开始变得越来越重要当一个组件承载全站流量时它是否仍然能够被预测对于业务系统灵活性通常更重要。对于基础设施可预测性往往更重要。对于普通应用运行时扩展是优势。对于网关运行时扩展本身就可能成为风险源。对于单个服务一次故障影响有限。对于流量入口一次故障可能影响整个系统。因此网关架构的演进方向最终不是追求无限灵活而是在灵活性和可预测性之间寻找平衡。七、一个值得关注的行业趋势如果回顾过去十年的网关发展历程会发现一个有趣的现象。早期行业关注的是如何更快扩展功能如何动态编程如何减少Reload而近年来越来越多项目开始关注类型安全声明式配置编译期校验故障隔离沙箱执行无论是EnvoyGateway APIService MeshWASM扩展体系还是新兴的AI Gateway都在朝着同一个方向演进将不可预测行为限制在更小的范围内。从这个意义上说NGINX官方这篇文章讨论的并不仅仅是Lua。它反映的是整个基础设施行业正在发生的一种转变从追求灵活性重新回到追求可预测性。结语NGINX官方这篇文章的结尾用了一个极为精妙的比喻将Lua集成到NGINX中就像是在赛车仍在运行时对其进行手术。赛车为速度而设计要求一切操作都是非阻塞且即时的但如果技师使用标准、慢速的工具或在发动机舱内留下散落的零件整辆车就会熄火或撞毁。这个比喻精准地描述了动态脚本语言嵌入基础设施核心的风险。NGINX官方的这篇文章并不是对Lua的否定。Lua依然是一门优秀的语言。OpenResty依然是极具影响力的基础设施项目。但对于承担全站入口职责的网关而言一个越来越清晰的共识正在形成最大的风险往往不是功能缺失而是不可预测。当系统规模不断扩大、业务越来越依赖基础设施时稳定、可控制、可预期的重要性正在重新超过灵活性。而这也许正是未来十年网关架构演进最值得关注的方向。参考与延伸阅读原文The Complex Dance of Lua and NGINX: Power, Pitfalls, and Performance ChallengesNGINX 官方博客2026 年 2 月, https://blog.nginx.org/blog/the-complex-dance-of-lua-and-nginx-power-pitfalls-and-performance-challengesBFE 开源项目https://github.com/bfenetworks/bfe相关阅读《B站网关事故背后OpenResty 与 Lua 的稳定性代价》作者简介章淼博士1994年进入清华大学计算机科学与技术系学习2004年获得博士学位2004年至2006年在清华大学留校任教在清华期间曾参与中国第一代核心路由器的研制工作。2012年起在百度工作超过十年聚焦云网络基础架构的研发工作是BFE开源项目的发起人。在百度期间积极推动软件工程能力提升曾担任百度代码规范委员会主席2021年10月被授予百度代码规范委员会荣誉主席。2022年出版《代码的艺术用工程思维驱动软件开发》。2023年4月起担任瑛菲网络CEO聚焦研发面向云和大模型场景的现代化流量管理平台。
