防范nginx中间人攻击需四方面协同：强制tlsv1.2+与强加密套件、启用hsts（max-age≥31536000）、配置完整证书链及ocsp装订、补充x-content-type-options等安全响应头。
防范 Nginx 环境下的中间人攻击，核心不是“加 HTTPS”就完事，而是确保 TLS 连接从建立到交互全程抗降级、抗伪造、抗篡改。重点在协议版本、加密套件、证书验证机制和响应头策略四方面严控。
强制使用高安全 TLS 协议与加密套件
仅启用 HTTPS 不足以防 MITM，攻击者可诱导客户端回退到弱协议（如 TLS 1.0）或弱算法（如 RC4、DES、MD5）进行解密。Nginx 必须显式禁用不安全选项：
- 在 server 或 http 块中配置：ssl_protocols TLSv1.2 TLSv1.3（彻底禁用 TLS 1.0/1.1 及所有 SSL 版本）
- 指定强加密套件：ssl_ciphers ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305
- 启用服务端优先选择：ssl_prefer_server_ciphers on，防止客户端协商弱套件
- 禁用不安全算法：确保配置中不含 !aNULL !eNULL !EXPORT !DES !RC4 !MD5 !PSK !SRP !CAMELLIA 等标记
启用 HSTS 并设置合理有效期
HSTS（HTTP Strict Transport Security）能强制浏览器只走 HTTPS，杜绝首次请求被劫持或 SSL 剥离攻击。未启用 HSTS 时，用户手动输入 http:// 或点击 HTTP 链接，就可能落入 MITM 陷阱：
- 添加响应头：add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
- max-age 至少设为 1 年（31536000 秒），includeSubDomains 覆盖子域名，preload 表示申请加入浏览器 HSTS 预加载列表
- 注意：首次响应必须通过 HTTPS 发送该头，且证书需有效；上线前建议先用较短 max-age（如 300）测试
配置可信证书链与 OCSP 装订
MITM 常依赖伪造证书或利用过期/自签名证书蒙混过关。Nginx 需协助客户端高效验证服务器身份：
- 确保 ssl_certificate 包含完整证书链（即服务器证书 + 中间 CA 证书），避免因链不全导致验证失败或降级
- 启用 OCSP 装订：ssl_stapling on; ssl_stapling_verify on;，让 Nginx 主动向 CA 查询并缓存证书吊销状态，减少客户端直连 OCSP 服务器的延迟与暴露面
- 指定可信根证书路径：ssl_trusted_certificate /path/to/root-ca-bundle.pem，用于验证 OCSP 响应签名
补充关键安全响应头防绕过
即使 TLS 层牢固，前端行为仍可能被诱导或误导。以下响应头可堵住常见 MITM 辅助入口：
- add_header X-Content-Type-Options "nosniff"：禁止浏览器 MIME 嗅探，防止 HTML/JS 被伪装成图片等类型执行
- add_header X-Frame-Options "DENY" 或 "SAMEORIGIN"：阻止页面被嵌入恶意 iframe，缓解点击劫持类 MITM 场景
- add_header Content-Security-Policy "default-src 'self'; upgrade-insecure-requests"：强制升级混合内容，并限制资源加载来源
- 可选增强：add_header Referrer-Policy "no-referrer-when-downgrade"，防止敏感路径随 Referer 泄露
不复杂但容易忽略：这些配置需配合有效证书、定期更新 OpenSSL/Nginx 版本，并用 SSL Labs 测试工具 验证评分是否达 A+。MITM 防御是纵深过程，单点加固无效，协议层、传输层、应用层响应头必须协同生效。
