thinkphp在nginx部署中需配置五项安全规则：一、禁止访问app/config/.env等敏感目录文件；二、隐藏nginx与php版本标识；三、限制非get/post等危险http方法；四、禁用uploads等上传目录的脚本执行；五、强制https重定向并启用tls 1.2+加密。
如果您在部署ThinkPHP应用时使用Nginx作为Web服务器，但未配置对应的安全规则，则可能面临敏感文件泄露、版本信息暴露、非法请求执行及路径遍历等风险。以下是针对ThinkPHP场景的Nginx安全规则配置步骤：
一、禁止访问敏感目录与文件
ThinkPHP项目中app、config、runtime、vendor、database、extend等目录包含源码或配置逻辑，若被直接访问将导致代码泄露；.env、.git、.htaccess等文件一旦下载，可直接获取数据库凭证或版本控制历史。必须通过location匹配并拒绝所有请求。
1、在server块内添加如下location规则：
2、location ~ ^/(app|config|database|extend|runtime|vendor)/ { deny all; }
3、location ~ /\.env|\.git|\.ht { deny all; }
4、若项目部署在子路径（如/example/），需同步调整正则前缀，例如^/example/(app|config)/。
二、隐藏Nginx与PHP服务标识
响应头中暴露Nginx版本号（如nginx/1.22.1）或PHP版本（如X-Powered-By: PHP/8.1.20）会为攻击者提供已知漏洞利用线索，必须关闭相关输出以缩小攻击面。
1、在http块中添加：server_tokens off;
2、在fastcgi处理块中添加：fastcgi_param SERVER_SOFTWARE nginx;
3、在server块中添加：fastcgi_hide_header X-Powered-By;
4、重启Nginx使配置生效：sudo systemctl reload nginx。
三、限制危险HTTP请求方法
除GET、HEAD、POST、OPTIONS外，其他HTTP方法（如PUT、DELETE、TRACE、CONNECT）在ThinkPHP常规业务中极少使用，开放将增加WebDAV滥用、XST攻击或路径遍历风险，应显式拒绝。
1、在server块顶部添加if判断：
2、if ($request_method !~ ^(GET|HEAD|POST|OPTIONS)$) { return 405; }
3、该规则必须置于所有location之前，确保优先匹配。
四、禁用上传目录脚本执行权限
ThinkPHP的public/uploads、public/attach等用户上传目录若允许PHP脚本执行，攻击者上传webshell后可直接获得服务器控制权。需单独配置location，强制禁止该路径下所有.php、.php5等扩展名的解析。
1、确认上传目录实际路径（如/var/www/project/public/uploads）。
2、添加独立location块：
3、location ~ ^/uploads/.*\.(php|php5|phtml|php3|php4|sh|pl|py|jsp|asp|aspx|cgi|exe|dll|so|jar|bat|cmd)$ { deny all; }
4、若使用软链接或别名，需配合alias指令并确保路径匹配准确。
五、启用HTTPS强制重定向与SSL安全加固
未加密传输会导致ThinkPHP的登录凭据、CSRF Token、Session ID等敏感信息明文泄露。必须配置HTTP到HTTPS的301跳转，并启用TLS 1.2+、禁用弱加密套件及不安全协议版本。
1、在监听80端口的server块中添加重定向：
2、return 301 https://$server_name$request_uri;
3、在HTTPS server块中启用SSL参数：
4、ssl_protocols TLSv1.2 TLSv1.3;
5、ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;
6、确保已正确加载证书与私钥文件路径。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
