如何配置 Nginx 生产环境安全加固方案：从移除版本标识到方法白名单的全方位防御-Nginx-PHP中文网

必须在http块顶层加server_tokens off;才能隐藏Nginx版本号，但Server头仍存在；需用more_clear_headers或more_set_headers彻底移除，错误页中的“nginx”须重编译源码或由反向代理过滤。

如何配置 nginx 生产环境安全加固方案：从移除版本标识到方法白名单的全方位防御

必须在 http 块顶层加 server_tokens off;，否则版本号仍会出现在错误页和响应头里——这是最常被漏掉的一处。

默认的 Server: nginx/1.24.0 是攻击者扫描的第一手线索。仅靠 server_tokens off; 只能隐藏版本号，但 Server: nginx 依然存在。要彻底抹除，需额外模块支持：

安装 ngx_http_headers_more_module（需重新编译或使用预编译包），然后在 http 块中添加：
```
more_clear_headers "Server";
```
若无法重编译，可在 http 块中用 more_set_headers 伪装：
```
more_set_headers 'Server: WebServer';
```
错误页面（如 404、50x）里的文字“nginx”来自源码硬编码，必须修改 src/http/ngx_http_special_response.c 并重编译——线上已运行的实例不建议临时动源码，优先靠反向代理层（如 CDN 或前置 LB）过滤响应体

开放 TRACE、OPTIONS、PUT、DELETE 等方法极易被用于探测、缓存投毒或 SSRF。Nginx 不提供“白名单式”方法控制，只能用 limit_except 显式拒绝：

在 location / 或敏感 location 块内写：
```
limit_except GET HEAD POST { deny all; }
```
注意：HEAD 必须显式列出，否则会被 limit_except 拒绝——它不是 GET 的子集
该指令不作用于 location ~ \.php$ 等正则匹配块，若后端是 PHP-FPM，还需在 FastCGI 层或应用层二次校验

攻击者常通过遍历路径尝试读取 .git/config、config.php.bak、error.log 等。Nginx 的 location 匹配是前缀+正则混合机制，顺序和贪婪度极易出错：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

把敏感路径拦截放在所有 location / 规则之前，避免被覆盖：

location ~* \.(git|svn|hg|bzr|log|bak|swp|swo|orig|conf|ini|yml|yaml|env)$ { deny all; }<br>location ~* ^/\. { deny all; }

上传目录（如 /uploads/）需单独放开执行权限隔离：

location ^~ /uploads/ { add_header Content-Disposition "attachment"; # 禁止解析脚本<br>    location ~ \.(php|pl|py|jsp|sh|cgi)$ { deny all; } }

user 指令写在 nginx.conf 最顶层才生效，且该用户必须对静态资源有「只读」、对日志目录有「追加写」权限，否则 worker 启动即失败：

创建专用用户：
useradd -r -s /sbin/nologin -M nginx（-M 省略家目录，-r 标记为系统用户）
确认 nginx.conf 开头有：
```
user nginx nginx;
```
设权示例：
chown -R root:nginx /usr/share/nginx/html
chmod -R 750 /usr/share/nginx/html
find /usr/share/nginx/html -type f -exec chmod 640 {} \;
日志目录权限易错：/var/log/nginx 需 root:nginx + 750，否则 worker 无法创建新日志文件