如何利用 internal 指令在 location 块保护内部 API 不被外部访问-Nginx-PHP中文网

Nginx的internal指令是路径身份标记机制，仅允许rewrite last、try_files、error_page等内部跳转访问，客户端直连一律返回404；必须置于具名location块内，不可单独使用或配置在server/http级。

如何利用 internal 指令在 location 块保护内部 api 不被外部访问

Nginx 的 internal 指令是专用于限制访问路径的底层安全机制，它不靠鉴权逻辑，而是通过“访问来源判定”实现硬隔离：只有由 Nginx 内部发起的请求（如 rewrite、error_page、post_action 或 try_files 跳转）才能进入该 location；任何来自客户端的直接请求一律返回 404。它轻量、高效，但必须用对位置和配套逻辑。

`internal` 必须放在具名 location 块中

不能写在 server 或 http 级别，也不能放在正则匹配（~ / ~*）或前缀匹配未加修饰的 location 中。
正确写法示例：

location /_internal/user/ {
    internal;
    proxy_pass http://user-service/;
}

错误写法（会报配置错误）：

# ❌ 错误：放在 server 块里
server {
    internal;  # 语法错误！
}

# ❌ 错误：用正则且未命名，internal 不生效
location ~ ^/_internal/ {
    internal;  # 实际被忽略
}

需搭配 rewrite 或内部跳转才真正可用

internal 自身不提供入口，只是守门员。你得先在另一个对外暴露的 location 中，用 rewrite ... last 或 try_files ... @named 把合法请求“送进来”。
典型结构：

外部路径 /api/v1/user → 经 rewrite 映射到 /_internal/user/
/_internal/user/ 声明 internal，拒绝直连

location /api/v1/ {
    rewrite ^/api/v1/(.*)$ /_internal/$1 last;
}

location /_internal/ {
    internal;
    proxy_pass http://backend/;
}

此时：

✅ curl https://example.com/api/v1/user → 正常转发
❌ curl https://example.com/_internal/user → 直接返回 404

要配合 HTTP 方法限制与头信息透传

仅靠 internal 不足以应对所有风险。建议叠加：

用 limit_except 限定允许的方法（如只允 GET/POST）
设置 proxy_set_header 传递真实客户端信息（如 $remote_addr）
避免后端误信伪造头（如 X-Forwarded-For）

location /_internal/ {
    internal;
    limit_except GET POST {
        deny all;
    }
    proxy_pass http://backend/;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For "";
}