Nginx安全防护有哪些技巧

Nginx安全防护关键技巧

先说几个核心判断：Nginx虽然以高性能和灵活性著称，但如果安全配置不到位，它也可能成为攻击者突破的缺口。下面这些技巧，基本覆盖了从基础加固到系统级协同防护的方方面面，值得逐一落地。

1. 基础安全配置

第一步，把Nginx的版本号藏起来。攻击者一旦知道了具体版本，就能精准定位已知漏洞。在nginx.conf的http或server块中加入server_tokens off;，就能避免响应头暴露版本信息。想做得更彻底一点，可以借助headers-more-nginx-module模块，直接把Server标识整个移除。

权限控制也得跟上。Nginx进程尽量用非root用户运行，通过user指令指定一个专用账号，比如nginx。同时，配置文件也必须加锁——chmod 640 /etc/nginx/nginx.conf，确保只有管理员才能看，其他人别想碰。

还有一个容易被忽视的小问题：自动目录列表。如果某个目录没配置索引文件，而autoindex又开着，整个目录结构就会直接暴露给访客。配置文件和日志都可能因此被一览无余。解决方法很简单，在location块里加上autoindex off;就行。

2. 访问控制与流量限制

想限制谁可以访问，谁不能访问，黑白名单是最直接的工具。比如后台管理页面，完全没必要暴露在公网：location /admin { allow 192.168.1.0/24; deny all; }，只让内网IP段通过，其他全部挡在外面。

面对DDoS攻击或者爬虫刷流量，速率和并发限制是两把利器。配置思路是这样的：先定义一个共享内存区域，记录每个IP的请求状态，然后限制每秒只能来一个请求。如果短时间内有突发流量，可以允许少量堆积，但整体节奏不能乱。代码示例：

http {
    limit_req_zone $binary_remote_addr zone=req_limit:10m rate=1r/s;
    limit_conn_zone $binary_remote_addr zone=conn_limit:10m;
}
server {
    location / {
        limit_req zone=req_limit burst=5 nodelay;
        limit_conn conn_limit 5;
    }
}

HTTP方法也得过滤一下。像TRACE、DELETE这类方法，一般业务用不上，留着反而增加风险。用limit_except指令，只允许GET、POST、HEAD通过，其他一概拒绝：

location / {
    limit_except GET POST HEAD {
        deny all;
    }
}

3. SSL/TLS加密加固

HTTPS已经是标配，但配置不到位还不如不用。首先要禁用掉SSLv2、SSLv3这些已经被攻破的协议，只保留TLSv1.2和TLSv1.3。加密套件也要精挑细选，优先使用前向安全的算法：

ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH;
ssl_prefer_server_ciphers on;

强制HTTPS是必须做的。通过return 301 https://$host$request_uri;把所有HTTP流量301重定向到HTTPS。更进一步，可以加上HSTS头，让浏览器记住“以后只能用HTTPS访问这个网站”，防止中间人把HTTPS降级成HTTP。配置如下：

add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload";

证书管理也别偷懒。现在Let's Encrypt提供免费证书，定期续费就行。每次改完配置记得用nginx -t检查语法，确认没问题再用nginx -s reload热加载，零停机更新。

4. 防恶意请求与攻击

SQL注入和XSS是Web应用的老对手了。在Nginx层面可以设置一道防线，拦截包含恶意关键词的查询字符串。比如发现请求里带着“union select from”这种明显是注入攻击的特征，直接返回403：

if ($query_string ~* "union.*select.*from") {
    return 403;
}

同时，加上X-XSS-Protection头，让浏览器自带的XSS过滤器也派上用场：add_header X-XSS-Protection "1; mode=block";。

文件上传功能也是个潜在风险点。如果不对请求体做限制，攻击者可能会用超大文件耗尽服务器资源。通过client_max_body_size设置一个合理上限，比如10M：client_max_body_size 10M;，超出直接拒绝。

5. 高级安全增强

安全响应头是防御多种客户端攻击的重要手段。以下几行代码可以有效防止点击劫持、内容类型嗅探和XSS：

add_header X-Frame-Options "SAMEORIGIN";
add_header X-Content-Type-Options "nosniff";
add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval' https://cdn.example.com";

日志的价值往往在回溯攻击时才体现出来。别等出事了才想起来日志没配全。访问日志和错误日志最好都开启，记录关键信息：客户端IP、请求时间、状态码、请求体等。格式可以自定义：

log_format main '$remote_addr - $remote_user [$time_local] "$request" '
                '$status $body_bytes_sent "$http_referer" '
                '"$http_user_agent" "$http_x_forwarded_for"';
access_log /var/log/nginx/access.log main;
error_log /var/log/nginx/error.log warn;

最后，编译Nginx时顺手做点减法。没用的模块就别装进去了，比如autoindex模块。少了功能，就少了攻击面。编译参数里加上--without-http_autoindex_module，干净利落。

6. 系统级协同防护

Nginx本身做得再好，也挡不住操作系统层面的漏洞。防火墙必须上——用iptables或firewalld限制只开放80和443端口，其他端口封死：

iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT
iptables -A INPUT -j DROP

Fail2Ban是一个非常实用的补充工具。它可以持续监控Nginx的错误日志，一旦发现某个IP反复出现401或403错误，就自动将其封禁一段时间。这个组合可以高效应对暴力破解和恶意扫描。

安全是持续对抗的过程。上面这些技巧，真正踩过坑、流过血的团队会知道每一项都有它的价值。别等被入侵了才想起来补课。