场景导入：你的 n8n 正在“裸奔”吗？

兄弟们，当你在本地跑通了第一个 n8n 工作流，那种“掌控一切”的快感确实很爽。但如果你打算把它部署到生产环境（比如公网服务器），我得给你泼盆冷水：默认配置的 n8n 就像没上锁的保险箱，谁都能进来逛两圈。

笔者见过太多新手，直接把 n8n 暴露在公网，结果被黑客利用 Webhook 端口疯狂挖矿，或者数据被爬个精光。这不是危言耸听，这是血淋淋的现实。今天，N8N大学 就带你从零开始，把你的 n8n 部署得既安全又硬核。

准备工作：安全架构的基石

在动手之前，我们需要明确一个核心原则：最小权限原则。不要给任何不必要的访问权限。

你需要准备以下环境：

• 一台 VPS 服务器：推荐 Ubuntu 20.04 或 22.04 LTS（长期支持版）。
• 域名与 SSL 证书：安全传输的基础，Let's Encrypt 免费证书即可。
• Docker & Docker Compose：容器化部署是目前最优雅、最安全的方式。

记住，我们的目标不是搭建一个“能用”的 n8n，而是搭建一个“能抗揍”的 n8n。

核心实操：构建铜墙铁壁

我们将分三步走：容器隔离、反向代理加密、访问控制加固。

第一步：使用 Docker Compose 隔离环境

直接在宿主机安装 n8n 是极其危险的，一旦被入侵，服务器就全完了。使用 Docker 是必须的。创建一个 docker-compose.yml 文件，这是我们的安全基座：

version: '3.8'
services:
  n8n:
    image: n8nio/n8n
    restart: always
    environment:
      - TZ=Asia/Shanghai
      - N8N_BASIC_AUTH_ACTIVE=true
      - N8N_BASIC_AUTH_USER=admin
      - N8N_BASIC_AUTH_PASSWORD=你的复杂密码
      - N8N_ENCRYPTION_KEY=你的32位加密密钥
    volumes:
      - ./n8n_data:/home/node/.n8n
    networks:
      - n8n-net

  nginx:
    image: nginx:alpine
    restart: always
    ports:
      - "80:80"
      - "443:443"
    volumes:
      - ./nginx.conf:/etc/nginx/nginx.conf
      - ./certs:/etc/nginx/certs
    depends_on:
      - n8n
    networks:
      - n8n-net

networks:
  n8n-net:
    driver: bridge

避坑指南： 很多新手在这里会忘记设置 N8N_ENCRYPTION_KEY。这个密钥用于加密你的凭证（API Key、数据库密码等）。如果丢失，所有保存的凭证将无法解密，工作流直接报废。

第二步：配置 Nginx 反向代理与 SSL

不要直接暴露 n8n 的 5678 端口。我们让 Nginx 挡在前面，负责处理 HTTPS 加密和流量转发。创建 nginx.conf：

events {}
http {
    server {
        listen 80;
        server_name your-domain.com;
        return 301 https://$host$request_uri;
    }

    server {
        listen 443 ssl http2;
        server_name your-domain.com;

        ssl_certificate /etc/nginx/certs/fullchain.pem;
        ssl_certificate_key /etc/nginx/certs/privkey.pem;

        location / {
            proxy_pass http://n8n:5678;
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_set_header X-Forwarded-Proto $scheme;
            
            # WebSocket 支持，n8n 实时日志必备
            proxy_http_version 1.1;
            proxy_set_header Upgrade $http_upgrade;
            proxy_set_header Connection "upgrade";
        }
    }
}

这里配置了 HTTP 到 HTTPS 的强制跳转，并开启了 WebSocket 支持。这是 n8n 实时查看执行日志的关键，否则你会看到连接断开的错误。

第三步：防火墙与基础认证双重保险

即使 SSL 配置无误，我们也不能完全信任网络环境。在 Docker Compose 中，我们已经开启了 N8N_BASIC_AUTH_ACTIVE=true。这意味着访问 n8n 必须输入账号密码。

此外，必须在服务器层面配置防火墙（以 UFW 为例）：

sudo ufw allow 22/tcp  # 仅开放 SSH
sudo ufw allow 80/tcp  # HTTP
sudo ufw allow 443/tcp # HTTPS
sudo ufw default deny incoming
sudo ufw enable

硬核建议： 如果你的 IP 固定，将 SSH 端口改为非标准端口，并仅允许特定 IP 访问。对于 n8n 的 Webhook 端口，千万不要直接对外开放，它应该只接收来自 Nginx 的内部流量。

避坑指南：生产环境常见“暴毙”原因

配置完上述步骤，你以为高枕无忧了？别急，笔者带你看看两个生产环境最常见的坑。

坑一：时区不同步导致的“时间错乱”

在 Docker 中，容器默认是 UTC 时间。如果你发现 n8n 的定时任务（Cron）总是晚 8 小时，或者日志时间不对，这不仅影响调试，还可能导致财务对账错误。

解决方案： 在 docker-compose.yml 的环境变量中，务必加上 - TZ=Asia/Shanghai（或者你所在的时区）。同时，确保宿主机的时间也是同步的（使用 timedatectl 命令检查）。

坑二：Webhook 暴露导致的 DDoS 攻击

n8n 的 Webhook 功能非常强大，但默认情况下，任何知道 URL 的人都可以触发你的工作流。如果有人恶意高频调用，你的服务器资源瞬间就会被耗尽。

解决方案： 在 Nginx 配置中，为 Webhook 路径添加限流模块，或者使用 Cloudflare 这样的 CDN 做前置防御。对于内部敏感操作，尽量使用 Webhook 节点 而不是公开的 Public Webhook。

FAQ 问答

Q1: 我可以使用 HTTP 而不是 HTTPS 吗？
绝对不行！在生产环境中，HTTP 传输的数据是明文的，你的 API Key、数据库密码在公网裸奔。而且现代浏览器会阻止“不安全”的混合内容，导致 n8n 界面无法加载。

Q2: 如果忘记 N8N_ENCRYPTION_KEY 怎么办？
很遗憾，没有任何办法找回。这个密钥是本地生成的，N8N 官方也无法恢复。你只能重置所有凭证，重新配置工作流。建议使用密码管理器保存这个密钥。

Q3: n8n 可以在共享主机上运行吗？
不推荐。n8n 需要 Node.js 环境和持久化存储，共享主机通常限制进程运行。而且从安全角度看，共享主机的隔离性很差，容易被同服务器的其他用户攻击。VPS 是最佳选择。

总结与资源

安全不是一次性的配置，而是一种持续的习惯。从 Docker 隔离到 Nginx 加密，再到防火墙规则，每一步都是在为你的自动化大厦添砖加瓦。

N8N大学 始终坚持：技术应当服务于生活，而不是成为负担。按照上述步骤配置，你的 n8n 已经具备了抗住中小型生产流量的能力。如果在部署中遇到具体报错，欢迎在社区发帖，笔者会亲自解答。

参考资源：

• n8n 官方 Docker 文档：https://docs.n8n.io/hosting/installation/docker/
• Nginx 官方配置指南：https://nginx.org/en/docs/