核心思路是让自动化探测低效、高成本、易暴露；nginx作为流量入口，在请求到达应用前识别拦截，结合error.log分析与fail2ban自动封禁，并在nginx配置层禁止隐藏文件、高危后缀、恶意ua、非必要http方法及限流敏感路径。
核心思路不是彻底堵死所有路径，而是让自动化探测变得低效、高成本、易暴露。Nginx 作为流量入口，最适合在请求到达应用前就完成识别、拦截与反制。
从 error.log 里揪出扫描器真身
暴力扫描最可靠的痕迹不在 access.log，而在 error.log——只要请求一个根本不存在的路径（比如 /.env、/phpmyadmin、/backup.zip），Nginx 就会记录：
[error] open() "/www/site/public/.env" failed (2: No such file or directory), client: 192.168.32.11, request: "GET /.env HTTP/1.1"
这类日志不受重定向或 rewrite 干扰，真实度高。重点关注三点：
- 提取 client 字段中的 IP，用于后续封禁
- 检查 request 中的路径是否含 .git、.env、install、admin、backup、sql、log 等关键词
- 核对 server 字段，确认是否针对你的站点（避免误伤其他虚拟主机）
用 fail2ban 自动封禁高频试探 IP
人工查日志太慢，必须靠自动化。fail2ban 是成熟方案，宝塔等面板已集成。关键配置如下：
- 日志路径设为 /www/wwwlogs/your-domain.com.error.log（注意是 error.log）
- filter 正则匹配：open\(\) ".*?(\.git|\.env|\.htaccess|phpmyadmin|wp-admin|backup|install)\b.*?failed \(2: No such file or directory\)
- 触发条件建议：3 分钟内命中 5 次，封禁 1 小时（兼顾压制效果与防误伤）
- 启用 jail 后重启 fail2ban 服务
在 Nginx 配置层提前拦截敏感行为
fail2ban 是“事后响应”，Nginx 才是第一道防线。在 server 块中加入这些规则：
- 禁止访问点开头的隐藏文件：location ~ /\. { return 404; }
- 禁止下载高危后缀：location ~ \.(zip|sql|bak|env|log|conf|7z|rar)$ { return 444; }（444 表示直接断连，不返回任何响应）
- 屏蔽恶意 User-Agent：if ($http_user_agent ~* "(zgrab|nmap|sqlmap|acunetix|bot|spider)") { return 444; }
- 关闭非必要 HTTP 方法：if ($request_method !~ ^(GET|HEAD|POST|PUT|DELETE|OPTIONS)$) { return 405; }
限制请求频率，让暴力破解失效
针对登录、API 等敏感路径，必须做速率控制。例如：
- 在 http 块定义限流区：limit_req_zone $binary_remote_addr zone=login_limit:10m rate=3r/m;
- 在 location /login 中启用：limit_req zone=login_limit burst=3 nodelay;
- 配合自定义错误页：error_page 503 @rate_limited; + location @rate_limited { return 429 "请求过于频繁，请稍后再试"; }
