nginx虽非传统网络层防火墙，但可通过autoindex off禁用目录浏览、if限制请求方法、ip黑白名单控制及modsecurity集成实现静态资源安全防护。
Nginx 本身不是传统意义上的网络层防火墙（如 iptables 或 firewalld），但它作为应用层反向代理和 Web 服务器，能通过内置指令和模块实现精细化的访问控制与安全防护，特别适合静态资源服务场景。关键不在于“装个防火墙模块”，而在于用好 Nginx 原生能力组合出实用、可靠的安全策略。
禁用目录浏览，防止资源泄露
默认开启 autoindex on 时，访问无首页的目录会列出所有文件（如 /images/ 显示全部图片名），极易暴露敏感路径或备份文件。
- 在对应
location块中显式关闭：autoindex off; - 若需临时启用，务必配合 IP 限制（见下文）或身份验证，不可对公网开放
限制请求方法，阻断非法操作
静态资源只应响应 GET 和 HEAD。其他方法（如 POST、PUT、DELETE）对纯静态服务毫无意义，且常被扫描器或攻击者滥用。
- 添加判断逻辑：
if ($request_method !~ ^(GET|HEAD)$) { return 405; } - 注意：
if在 location 中使用是安全的；避免在 server 或 http 级别滥用
基于 IP 的黑白名单控制
适用于内网资源、管理后台静态页、灰度发布资源等场景。规则按顺序匹配，先写的优先。
- 只允许某几个运维 IP 访问管理资源：
location /admin-static/ {<br> allow 192.168.10.5;<br> allow 203.0.113.12;<br> deny all;<br>} - 屏蔽已知恶意 IP 段：
deny 198.51.100.0/24; - 注意：IP 规则必须放在
location内，且deny all要写在最后才有效
启用 ModSecurity（进阶 WAF 防护）
当需要防御 SQL 注入、XSS、路径遍历等 Web 攻击时，可集成开源 WAF 引擎 ModSecurity。它不是 Nginx 原生模块，但有成熟动态模块支持。
- 安装方式（以 Fedora/CentOS Stream 为例）：
sudo dnf install nginx-mod-modsecurity - 启用配置（在 server 或 http 块中）：
modsecurity on;<br>modsecurity_rules_file /etc/nginx/modsecurity.conf;
- 推荐搭配 OWASP Core Rule Set（CRS），能拦截常见攻击特征，无需自写复杂正则
不需要额外编译或依赖第三方“firewall_module”，Nginx 原生能力 + ModSecurity 就足以构建面向静态资源的轻量级、高可用安全防线。重点是理解每条规则的作用边界，避免过度限制影响正常访问。
