gin 默认绑定到 127.0.0.1 导致服务仅限本地访问；需改为监听所有网络接口（如 :8080），并配合 aws 安全组与系统防火墙配置，才能实现公网可访问。
gin 默认绑定到 127.0.0.1 导致服务仅限本地访问；需改为监听所有网络接口（如 :8080），并配合 aws 安全组与系统防火墙配置，才能实现公网可访问。
在将 Go + Gin 应用部署至 AWS EC2 实例后，常遇到“本地 curl 成功但外网无法访问”的典型问题。根本原因在于 Gin 的 router.Run() 默认绑定地址未显式指定为全网接口，导致服务仅监听回环（loopback）地址 127.0.0.1，拒绝来自外部网络的连接请求。
✅ 正确绑定方式：监听所有可用网络接口
Gin 的 router.Run() 接受形如 "host:port" 的参数。若传入 "127.0.0.1:8080"（如原代码所示），则服务仅接受来自本机内部的请求；而改为 ":8080"（即省略 host），等价于绑定到 0.0.0.0:8080，表示监听该端口上所有 IPv4 网络接口（包括公网弹性 IP 对应的网卡）：
// ❌ 错误：仅监听本地回环，外部不可达
router.Run("127.0.0.1:8080")
// ✅ 正确：监听所有接口，支持外部访问
router.Run(":8080")? 提示：":8080" 是 Gin 的标准写法，底层由 net/http.Server 解析为 0.0.0.0:8080。你也可显式写成 "0.0.0.0:8080"，效果一致，但 ":8080" 更简洁且符合 Gin 官方推荐风格。
? 必须同步检查的基础设施配置
即使 Go 代码已修正，仍需确保以下三层配置全部就绪，缺一不可：
-
AWS 安全组（Security Group）
在 EC2 控制台中，为实例关联的安全组必须显式允许入站（Inbound）TCP 流量到达目标端口（如 8080）。例如：- 类型：Custom TCP
- 端口范围：8080
- 源：0.0.0.0/0（开放给所有 IP）或限定特定 IP 段（生产环境推荐）
-
EC2 实例操作系统防火墙（如 ufw 或 firewalld）
Ubuntu 默认启用 ufw，CentOS/RHEL 常用 firewalld。请确认未拦截该端口：# Ubuntu 示例 sudo ufw status verbose sudo ufw allow 8080 # CentOS/RHEL 示例 sudo firewall-cmd --list-ports sudo firewall-cmd --add-port=8080/tcp --permanent && sudo firewall-cmd --reload
-
应用进程实际监听状态验证
部署后，登录实例执行以下命令，确认服务确实在 0.0.0.0:8080 监听：sudo ss -tlnp | grep :8080 # ✅ 正确输出应包含：0.0.0.0:8080 或 *:8080 # ❌ 若只显示 127.0.0.1:8080，则代码未生效或未重启服务
⚠️ 注意事项与最佳实践
- 不要暴露敏感端口至公网：开发阶段可开放 8080，生产环境建议通过 Nginx/Apache 反向代理至 80/443，并关闭直接公网端口。
-
避免硬编码端口：使用环境变量管理端口，提升可移植性：
port := os.Getenv("PORT") if port == "" { port = "8080" } router.Run(":" + port) - 启用 HTTPS（生产必需）：Gin 本身不内置 TLS 终止，应配合反向代理或使用 router.RunTLS() 配合证书部署。
- 日志与健康检查：添加 /healthz 路由便于负载均衡器探活，并确保日志输出到 stdout 以便 CloudWatch Logs 采集。
完成上述修改与验证后，即可通过 http://<EC2-Public-IP>:8080/ 正常访问你的 Gin API。记住：Go 代码绑定地址是第一道关卡，安全组和系统防火墙是第二、第三道防线——三者协同，方能打通公网访问链路。
