补充一个楼上没展开、但“后端健康 + 偶发 502”里最常见的具体原因：Nginx 复用了一条后端刚好关闭的 keepalive 连接。1. 先确认 keepalive 是否真的生效。只写 keepalive 32; 不够，location 里还必须有下面两行，否则 Nginx 每次都用 HTTP/1.0 新建连接，连接池形同虚设：proxy_http_version 1.1;proxy_set_header Connection "";2. 核对两端空闲超时。后端关闭空闲连接的时间必须大于 Nginx 的 keepalive_timeout（upstream 块里的，1.15.3+ 默认 60s）。典型踩坑：Node.js 的 server.keepAliveTimeout 默认只有 5 秒，Gunicorn 默认 2 秒，都远小于 60 秒。后端在第 5 秒发 FIN 的同时 Nginx 正好拿这条连接发请求，就会出现 upstream prematurely closed connection 或 recv() failed (104: Connection reset by peer)，频率低、流量低谷后的第一个请求更容易中招，健康检查完全测不出来。修法二选一：Nginx 侧调小：upstream 里 keepalive_timeout 4s;（小于后端）后端侧调大：Node.js 设 server.keepAliveTimeout = 65000; server.headersTimeout = 66000;（headersTimeout 要比它大）3. 用日志一眼区分“建连失败”和“复用失败”。access log 加上 $upstream_connect_time：502 那一行如果是 0.000 或 - 且 error.log 是 reset/prematurely closed，基本就是复用到了死连接；如果是 connect() failed (110/111)，才去查 backlog、conntrack、安全组。4. 兜底。对幂等的 GET/HEAD 可以保留默认的 proxy_next_upstream error timeout;，Nginx 会自动换连接重试；非幂等请求默认不会重试（1.9.13+），不要为了消 502 加 non_idempotent。验证方法：把 Nginx 侧 keepalive_timeout 临时调到明显大于后端（比如后端 5s、Nginx 60s），用每 5~6 秒一个请求的低频脚本跑几分钟，通常能稳定复现；改成小于后端后应当不再出现。

SWR 的权限可以分成两层来规划：IAM 层决定“能不能用 SWR”，SWR 内部的组织/镜像授权决定“能动哪些镜像”。一、两层权限分别管什么IAM 策略（账号级）：给 IAM 用户或用户组授予 SWR 的系统策略，例如只读类策略（只能查看/拉取）或完全访问类策略（可创建组织、推送、删除）。管理员角色只给少数平台管理员。组织（namespace）权限：在 SWR 控制台“组织管理”里给 IAM 用户授权，分三档：读取（下载镜像）、编辑（下载、上传、修改镜像属性）、管理（在编辑基础上还能删除镜像、给他人授权）。镜像级权限：同样是读取/编辑/管理三档，只对单个镜像仓库生效，适合“某个基础镜像共享给别的团队只读”这类场景。二、一个常用的规划方式按团队 + 环境建组织：例如 teamA-dev、teamA-prod、base-images。组织是授权的主要边界，一开始就按“谁能推送”来划分，后面最省事。人：开发者在 dev 组织给“编辑”，在 prod 组织只给“读取”；只有平台/发布负责人在 prod 组织有“管理”。流水线：单独建一个只用于 CI 的 IAM 用户（编程访问），只在需要推送的那个组织给“编辑”，不要用主账号或个人账号的 AK/SK 登录推送。运行环境：CCE 集群拉取同账号同区域的私有镜像一般不用额外配置；ECS 上用 docker 拉取时，用 CI 或只读用户的登录指令，区分临时登录指令和长期有效登录指令，长期指令要当作密钥保管和轮换。共享基础镜像：放在 base-images 组织，对其他团队按镜像授权“读取”，避免把整个组织开放出去；确实需要对外公开时才把镜像设为公开。三、几个容易踩的坑只在组织里授权、没给 IAM 用户 SWR 相关策略，用户可能连控制台都进不去；反过来只给了完全访问策略，就绕过了组织级的精细控制，所以两层要配合着给。“管理”权限可以删镜像、给别人授权，prod 组织里要严格控制人数。给组织配置镜像老化规则（按数量或天数保留），避免 tag 越积越多。人员离职或角色变动时，记得同时回收 IAM 用户组和组织/镜像上的授权。具体策略名称和三档权限的完整动作列表，建议对照 SWR 用户指南“权限管理”和“组织管理/用户权限”章节核对当前版本。