Nginx 安全策略：如何实施细粒度的 URL 路径级防护-Nginx-PHP中文网

nginx通过location块路径匹配与策略嵌套实现url细粒度防护，支持白名单放行、高危路径拦截、敏感目录禁止访问、差异化限流/过滤/防盗链及ip来源控制，并可结合naxsi对动态路径精准启用安全规则。

nginx 安全策略：如何实施细粒度的 url 路径级防护

直接在 location 块中做路径匹配与策略嵌套，是 Nginx 实现 URL 路径级细粒度防护最高效、最可控的方式。不依赖外部模块，无需改业务代码，就能对不同路径施加差异化的访问控制、限流、过滤和响应策略。

避免“默认全开、事后封堵”的风险，采用白名单思维明确允许的路径，其余一律拒绝。

只允许调用已上线的公开 API：
location ~ ^/api/v1/(users|orders|products|search)$ { proxy_pass http://backend; }
主动屏蔽高危调试路径：
location ~ ^/api/v1/(admin|debug|config|healthz|metrics) { return 403; }
禁止访问敏感静态资源目录：
location ^~ /private/ { deny all; }

同一台 Nginx 可针对 /login、/api/、/static/ 等路径分别设置强度不同的防护，避免“一刀切”影响可用性。

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

登录接口强限流防爆破：
limit_req_zone $binary_remote_addr zone=login:10m rate=2r/s;
在 location /login 中启用：limit_req zone=login burst=3 nodelay;
API 接口启用轻量载荷过滤：
if ($query_string ~* "(union.*select|base64_decode|eval\()") { return 403; }
静态资源路径专注防盗链与防遍历：
location ~* \.(js|css|png|jpg|woff2)$ { valid_referers none blocked example.com *.example.com; if ($invalid_referer) { return 403; } }

对管理类或内部接口路径（如 /internal-api/），必须限制来源，但要注意前端是否经过 CDN 或负载均衡。

内网+指定公网 IP 白名单：
location /internal-api/ { allow 10.0.0.0/8; allow 203.0.113.45; deny all; proxy_pass http://backend; }
若前端有 CDN，需启用 real_ip 模块还原真实客户端 IP：
set_real_ip_from 10.0.0.0/8; real_ip_header X-Forwarded-For;
注意 allow/deny 是顺序匹配，第一条生效即终止判断。

当需要对某类 URL 模式（如所有带 v2 版本号的接口）统一加规则时，基础 location 正则不够灵活，可引入 Naxsi 的高级匹配区域。

仅对 /api/v2/.* 路径启用 SQL 注入检测：
MainRule "str:'" "msg:SQLi in v2 API" "mz:$URL_X:^/api/v2/" "s:$SQL:4" id:2001;
$URL_X 支持正则，比 location ~ /api/v2/ 更精准绑定检测范围，且不影响性能。
适用于需差异化防护多版本 API、灰度路径或租户前缀路径（如 /t/{id}/api）的场景。