Linux怎么配置Nginx封禁恶意User-Agent Nginx安全防护详解-LINUX-PHP中文网

必须用map指令在http块顶层定义匹配逻辑，再在location内用if($blocked_ua)判断并return 403；因if在server/location中会重置变量、干扰proxy_pass、重复执行正则且性能差，而map预编译正则、o(1)查找、零运行开销。

linux怎么配置nginx封禁恶意user-agent nginx安全防护详解

直接封禁恶意 User-Agent 是最轻量、见效最快的 Nginx 层面反爬手段之一，但用错方式（比如滥用 if）会导致配置失效、性能下降甚至服务异常。核心结论：**必须用 map 指令在 http 块顶层定义匹配逻辑，再在 location 内用 if ($blocked_ua) 判断并 return 403 —— 这是唯一兼顾安全、可维护与性能的方案。**

为什么不能直接在 server 或 location 里写 if($http_user_agent ~* "...")

Nginx 的 if 指令在 location 外（如 server 块顶层）有已知副作用：它会重置内部变量、干扰 rewrite 流程、导致 proxy_pass 行为异常，且正则匹配在每次请求时重复执行，开销不可忽略。

if 在 server 块中匹配 $http_user_agent 时，若后续有 try_files 或 proxy_pass，可能跳过预期逻辑，返回 404 或透传恶意请求
多个 if 并列判断（比如同时检查 UA + 请求方法）会叠加嵌套开销，Nginx 官方明确标注“if is evil”
正则未加 ~*（忽略大小写）或漏掉锚点（如 ^、$），容易误放或误杀：例如 curl 匹配到 curl-loader，但 python-requests 可能被写成 Python/3.9 而漏掉

map 指令怎么写才真正生效

map 必须位于 http 块最外层（即所有 server 之前），它在 Nginx 启动时预编译正则，运行时仅做 O(1) 查找，零额外开销。

Zynq Linux Hardware Debug

Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。

下载

每个匹配项用 ~* 开头，后面跟正则表达式，不要加引号；default 0 是必需的兜底值
常见扫描器要覆盖全：包括 sqlmap、nmap、masscan、nikto、ZmEu、python-requests（注意末尾 .*$）、Go-http-client
白名单优先级高于黑名单：如果允许 Sogou web spider，就把它单独写一行并映射为 0，放在黑名单规则之后（map 按顺序匹配，首个命中即终止）
空 User-Agent 必须显式处理：~* ^$ 或 ~* ^[[:space:]]*$，否则默认走 default 放行

http {
    map $http_user_agent $blocked_ua {
        default 0;
        ~* ^$ 1;
        ~* (sqlmap|nikto|nmap|masscan|ZmEu|Go-http-client) 1;
        ~* python-requests/.*$ 1;
        ~* Sogou web spider 0;  # 白名单，放行
    }
<pre class="brush:php;toolbar:false;">server {
    location / {
        if ($blocked_ua) {
            return 403 "Access denied.";
        }
        try_files $uri $uri/ =404;
    }
}

}

如何验证和避免误伤正常流量

上线前不验证，等于给业务埋雷。真实日志里常出现：某合作方调用 SDK 的 UA 里含 okhttp，某监控系统用 curl 探活，结果全被 403 —— 这类问题必须前置拦截。

用 curl -H "User-Agent: sqlmap/1.0" http://your.site/ 和 curl -H "User-Agent: Mozilla/5.0..." http://your.site/ 对比测试响应码
开启条件日志：log_format blocked '[$time_local] $remote_addr "$request" $status $blocked_ua'; access_log /var/log/nginx/blocked.log blocked if=$blocked_ua;，先观察 24 小时再切 return 403
主流搜索引擎 UA（Googlebot、Baiduspider、bingbot）绝不能写进黑名单，否则 SEO 彻底崩坏；若需限制频率，改用 limit_req 而非 UA 封禁
移动端 WebView 或小程序环境 UA 可能含 MicroMessenger、QQ 等关键词，若业务依赖微信内嵌，需白名单豁免