nginx作为api安全网关的核心是分层控制：路径过滤（location匹配放行/封禁）、连接与速率双限流（limit_conn+limit_req）、头部与协议加固（强制https、清理xff、限制http方法）、响应头与日志审计（注入安全头、扩展日志格式）。
要让 Nginx 真正发挥 API 安全网关的作用，关键不是堆砌功能，而是围绕真实请求流做分层、可验证、可收敛的控制。核心思路是：路径先筛、连接再限、身份后验、行为兜底。
路径级访问控制：从源头拒绝非法入口
很多安全问题源于未授权接口暴露，比如调试路径、管理端点或旧版本 API。Nginx 的 location 匹配机制支持正则和前缀，适合做第一道过滤。
- 只放行明确需要的接口路径，其余一律拦截：
location ~ ^/api/v1/(users|orders|products|status)$ { proxy_pass http://backend; } - 主动封禁高风险路径，返回 403：
location ~ ^/api/v1/(admin|debug|config|health|swagger|actuator) { return 403; } - 禁止直接访问静态资源或源码文件：
location ~ \.(git|env|log|yml|yaml|ini|bak)$ { return 404; }
连接与速率双维度限流：防爆也防扫
单一维度的限流容易被绕过。建议组合使用连接数限制（limit_conn）和请求速率限制（limit_req），分别应对慢速攻击和高频扫描。
- 定义两个独立的共享内存区：
limit_conn_zone $binary_remote_addr zone=perip:10m;limit_req_zone $binary_remote_addr zone=perip_req:10m rate=50r/s; - 在 server 或 location 块中同时启用：
limit_conn perip 30;（单 IP 最多 30 并发连接）limit_req zone=perip_req burst=100 nodelay;（允许突发 100 请求，不排队） - 对登录、密码重置等敏感路径单独加严：
location /auth/login { limit_req zone=perip_req burst=5 nodelay; }
头部与协议加固：堵住常见绕过入口
攻击者常通过伪造 X-Forwarded-For、跳过 HTTPS 或滥用 HTTP 方法绕过基础防护。Nginx 可在网关层统一拦截。
- 强制 HTTPS 并禁用弱协议：
if ($scheme = http) { return 301 https://$host$request_uri; }ssl_protocols TLSv1.3; - 校验并清理可疑头信息：
map $http_x_forwarded_for $real_ip { "" $remote_addr; default $remote_addr; }
再用$real_ip替代原始变量做限流或日志 - 限制 HTTP 方法，仅允许可用动词：
if ($request_method !~ ^(GET|HEAD|POST|PUT|DELETE|OPTIONS|PATCH)$ ) { return 405; }
细粒度响应头与日志审计：让防护可观察、可追溯
安全策略必须配合可观测能力，否则等于“闭眼设防”。Nginx 支持在响应中注入安全头，并记录关键字段用于分析。
- 添加基础安全响应头：
add_header X-Content-Type-Options nosniff;add_header X-Frame-Options DENY;add_header Content-Security-Policy "default-src 'self';"; - 扩展日志格式，包含上游耗时与客户端真实 IP：
log_format secure '$real_ip - $remote_user [$time_local] "$request" ' '$status $body_bytes_sent "$http_referer" ' '"$http_user_agent" rt=$request_time ' 'urt="$upstream_response_time" uct="$upstream_connect_time"; - 对异常状态码（如 403、429、502）单独记录到审计日志：
access_log /var/log/nginx/audit.log secure if=$is_audit;
配合map判断$status是否属于审计范围
大量免费API接口：立即使用
涵盖生活服务API、金融科技API、企业工商API、等相关的API接口服务。免费API接口可安全、合规地连接上下游，为数据API应用能力赋能！
