你打开浏览器，端口敲下 localhost:8080，和端页面出来了。区别把 :8080 删掉，端口只剩 localhost，和端页面照样出来。区别两个端口，端口一个数字之差，和端背后却是区别两套完全不同的运行逻辑。

80端口是端口HTTP协议的默认端口。这意味着当你在地址栏输入一个域名，和端没写端口号时，区别浏览器会自动往80端口发请求。端口这个规则写在RFC 2616里，和端不是区别哪个浏览器厂商拍脑袋定的。所以任何一个正经的Web服务器——Nginx、Apache、IIS——默认都会监听80端口。你部署一个网站，绑好域名，DNS解析生效，用户就能直接访问。整个过程不需要用户知道端口的存在。

8080端口没有这层“默认”身份。它只是一个普通的高位端口，谁都可以用，不需要root权限。在Linux和macOS上，监听1024以下的端口需要管理员权限，80正好卡在这条线以下。所以开发环境里，你经常看到Tomcat跑在8080，Jenkins跑在8080，各种代理工具也跑在8080。原因很简单：开发者不想每次都sudo启动服务。

我自己的服务器上跑着一个Node.js应用。开发阶段它监听3000，后来改到8080。为什么不是80？因为那台机器上Nginx已经占了80，它负责处理静态文件和SSL终结，动态请求反向代理到8080。这是最常见的架构：80端口对外，8080对内。外部用户只跟80打交道，8080躲在防火墙后面，不暴露给公网。

安全层面，这两个端口的待遇完全不同。80端口是扫描器的重点关照对象。你随便开一台有公网IP的机器，监听80，几个小时内就能在日志里看到各种爬虫和漏洞扫描请求。8080稍微好一点，但也好不到哪去——Shodan上搜port:8080，照样能翻出一堆没设密码的Tomcat管理后台和Jenkins面板。端口号本身不提供任何安全防护，但80因为“默认”属性，被攻击的面确实更大。

还有一个容易忽略的差异：浏览器行为。有些浏览器对80端口有特殊处理，比如HSTS预加载列表里的域名，浏览器会强制走HTTPS，也就是443端口，根本不给80机会。而8080端口不会触发任何自动升级或安全策略。你用http://example.com:8080访问，浏览器不会自动跳转到HTTPS，除非服务器端自己做了重定向。这个差异在调试CORS和混合内容问题时特别明显。

代理和CDN的配置也跟端口绑定。Cloudflare默认只代理80和443。你想让它代理8080？得加钱，上企业版。很多公司防火墙的出站规则只放行80和443，8080被堵得死死的。所以一个服务如果想让尽可能多的人访问到，最终都得回到80或443上来。8080适合内部使用、开发调试、临时演示，但不太适合作为面向公众的入口。

说白了，80端口是“门面”，8080是“后门”。门面要体面、要安全、要能被所有人找到。后门要灵活、要方便、要能随时改配置重启而不影响外部用户。两者配合使用，才是正经的部署方式。单独把应用暴露在8080上给外部访问，不是不行，但你得清楚自己在放弃什么——默认端口的便利性、部分网络环境的可达性，以及一层不那么明显但确实存在的安全缓冲。

下次启动服务的时候，想一下这个端口号到底意味着什么。它不只是一个数字。