推荐使用兼顾性能、安全与可审计性的标准化配置模板：资源调度类设worker_processes auto和worker_connections 4096（需同步调高ulimit -n至65535），传输优化类启用sendfile、tcp_nopush、tcp_nodelay及epoll事件模型，防护类关闭server_tokens、添加X-Content-Type-Options和X-Frame-Options安全头，日志格式嵌入request_time等可观测字段，并强制执行nginx -t验证与响应头/压测双重校验。
直接用一套兼顾性能、安全和可审计性的配置模板，比零散调优更可靠。核心是把关键参数归为三类：资源调度类（如 worker 进程）、传输优化类（如 sendfile、TCP 参数）、防护与可观测类（如安全头、日志格式），再结合系统限制统一校准。
性能加速：匹配硬件并压稳连接吞吐
不盲目堆高数值，而是依据服务器实际资源设定合理上限：
-
worker_processes auto —— 自动识别 CPU 核心数，多核机器默认启用全部核心；若跑容器或混部，可设为
2或4避免争抢 -
worker_connections 4096 —— 单进程最大连接数，需同步检查系统级限制：
ulimit -n至少设为65535，并在/etc/security/limits.conf中持久化 -
use epoll; multi_accept on; —— Linux 必选事件模型，配合
multi_accept提升单次 accept 处理多个连接的效率 - sendfile on; tcp_nopush on; tcp_nodelay on; —— 组合使用：sendfile 减少内核态拷贝，tcp_nopush 配合其批量发包，tcp_nodelay 确保小响应不等待
安全加固：隐藏指纹 + 强制防护头 + 访问控制
生产环境不能只靠“没暴露版本号”蒙混过关，要分层设防：
- server_tokens off; —— 关闭响应头中的 Nginx 版本，避免被针对性攻击
- add_header X-Content-Type-Options "nosniff" always; —— 阻止浏览器 MIME 类型猜测，防范 XSS 诱饵
- add_header X-Frame-Options "SAMEORIGIN" always; —— 禁止被嵌入非同源 iframe，防点击劫持
-
IP 白名单示例（location 级）：
location /admin {<br> allow 192.168.10.0/24;<br> allow 2001:db8::/32;<br> deny all;<br>} - 敏感路径建议叠加 Token 验证，用
map $http_authorization $auth_valid映射合法凭证，比 if 更高效稳定
自动化审计：结构化日志 + 可追踪字段 + 容器友好输出
日志不是存下来就行，要能被 ELK 或 Loki 直接解析，并支撑故障定位：
-
自定义 log_format 包含耗时维度：
log_format main '$remote_addr - $remote_user [$time_local] "$request" '<br> '$status $body_bytes_sent "$http_referer" "$http_user_agent" '<br> 'rt=$request_time uct=$upstream_connect_time uht=$upstream_header_time';
其中rt是总耗时，uct和uht可快速判断是网络延迟还是后端慢 - error_log 设为 warn 级别：避免 info 日志淹没真实错误，便于告警收敛
-
Docker 场景必加日志轮转：在
docker-compose.yml中配置：logging:<br> driver: "json-file"<br> options:<br> max-size: "100m"<br> max-file: "10"
防止单个容器日志撑爆磁盘
配置落地前必须做的三件事
再好的模板，跳过验证就上线等于埋雷：
- 执行
nginx -t检查语法，确认无 warning 或 error - 用
curl -I http://localhost查看响应头，验证X-Frame-Options、X-Content-Type-Options是否生效 - 模拟并发请求（如
ab -n 1000 -c 100 http://localhost/），观察nginx -s reload后是否连接中断、错误率突增
