如何配置 Nginx 实现针对不同业务路径的差异化安全防护等级-Nginx-PHP中文网

Nginx安全落地应按业务路径分四类防护：管理后台（IP白名单+基础认证+禁用高危方法）、API接口（限流+攻击特征过滤+请求体限制）、静态资源（Referer白名单+禁止敏感文件+关闭目录索引）、开放页面（隐藏版本号+连接限制+HTTPS强制跳转）。

如何配置 nginx 实现针对不同业务路径的差异化安全防护等级

直接按业务路径划分防护强度，是 Nginx 安全落地最务实的做法。核心思路是：管理后台、API 接口、静态资源、开放页面四类路径，各自匹配对应粒度的防护策略，不搞“一刀切”。

这类路径必须执行最高级别访问控制，兼顾身份鉴别与网络准入。

强制 IP 白名单：仅允许运维网段或办公出口 IP 访问，其他一律拒绝
location /admin {
  allow 10.20.0.0/16;
  allow 203.0.113.100;
  deny all;
}
叠加基础认证：避免仅靠 IP 防御失效，补充用户名密码校验
auth_basic "Admin Area";
auth_basic_user_file /etc/nginx/.htpasswd;
禁用高危 HTTP 方法：只允许 GET、POST、HEAD，拒绝 PUT、DELETE、TRACE 等
if ($request_method !~ ^(GET|POST|HEAD)$) { return 405; }

重点防暴力调用和滥刷，同时保留一定弹性，不影响正常业务流量。

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

启用细粒度限流：按 IP 建立独立限流区，速率 + 突发容量双控
limit_req_zone $binary_remote_addr zone=api:10m rate=10r/s;
location /api/ {
limit_req zone=api burst=30 nodelay;
}
拦截已知攻击特征：对 query string 和 User-Agent 做轻量级过滤
if ($query_string ~* "(union.*select|base64_decode|eval\()") { return 403; }
if ($http_user_agent ~* "(sqlmap|nikto|acunetix)") { return 403; }
限制请求体大小：防止大 payload 触发后端解析异常或内存耗尽
client_max_body_size 2m;

以防盗链和防遍历为主，不引入复杂逻辑，保障性能与可用性。

开启 Referer 白名单：只允许自家域名引用图片、JS、CSS 等资源
location ~* \.(jpg|jpeg|png|gif|js|css|woff2?)$ {
valid_referers none blocked example.com *.example.com;
if ($invalid_referer) { return 403; }
}
禁止访问隐藏文件和敏感后缀：
location ~ /\. { deny all; }
location ~* \.(bak|conf|env|log|sh|sql)$ { return 404; }
关闭目录索引：防止自动列出 uploads/ 下的上传文件列表
location /uploads/ { autoindex off; }

防御重心转向基础加固与资源保护，避免成为扫描跳板。

全局基础防护生效：包括隐藏版本号、精简响应头、限制连接数等
server_tokens off;
more_clear_headers "Server" "X-Powered-By";
limit_conn_zone $binary_remote_addr zone=conn_ip:10m;
limit_conn conn_ip 50;
设置合理超时：缩短空闲连接保持时间，减少资源占用
keepalive_timeout 30;
client_header_timeout 15;
client_body_timeout 15;
启用 HTTPS 强制跳转：所有 HTTP 请求 301 重定向至 HTTPS
return 301 https://$host$request_uri;