Nginx安装后如何配置基本的安全访问控制列表-Nginx-PHP中文网

nginx访问控制需在location或server块中使用allow/deny指令，按顺序匹配，deny all须置末；支持ip、cidr、ipv6（方括号），可结合geo+map实现区域限制，配置后须nginx -t验证并reload。

nginx安装后如何配置基本的安全访问控制列表

安装 Nginx 后，默认不启用任何访问控制，所有请求都能到达服务器。要实现基本的安全访问控制，核心是使用 allow 和 deny 指令配合 deny all 构建白名单或黑名单策略，同时注意作用域和匹配顺序。

明确配置位置：location 或 server 块中生效

访问控制指令必须放在 location、server 或 http 块内，不能单独写在配置文件顶层。常用做法是在具体路径下限制，例如仅允许内网访问后台接口：

在 location /admin 块中配置，比放在 server 块更精准，不影响其他路径
若需全局限制（如只允许某几个 IP 访问整个站点），可放在 server 块里
多个 allow/deny 规则按书写顺序自上而下匹配，遇到第一条匹配即停止（类似防火墙规则）

设置 IP 白名单：只允许可信地址访问

适用于管理后台、API 调试接口等敏感路径。例如只允许公司内网（192.168.1.0/24）和运维人员固定公网 IP（203.0.113.5）访问 /api/internal：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

location /api/internal {
    allow 192.168.1.0/24;
    allow 203.0.113.5;
    deny all;
}

allow 和 deny 可接受单个 IP、CIDR 网段、all 关键字
deny all 必须放在最后，否则前面的 allow 不生效
IPv6 地址需用方括号包裹，如 allow 2001:db8::/32

结合 geo 模块做区域级限制（可选进阶）

如果需要按国家或地区屏蔽流量，Nginx 自带 geo 模块可预定义变量，再通过 map 或 if 配合 deny 实现。但注意：if 在 location 中有局限，推荐用 geo + map 方式：

geo $bad_country {
    default        0;
    192.0.2.0/24   1;  # 示例：屏蔽某测试网段
    203.0.113.0/24 1;
}
<p>map $bad_country $limit {
1 "deny";
0 "";
}</p><p>server {
location / {
if ($limit = "deny") {
return 403;
}</p><h1>正常代理或静态服务</h1><pre class="brush:php;toolbar:false;"><code>}</code>

}