nginx无法根治http响应拆分漏洞，因其源于后端未过滤用户输入导致crlf注入响应头；但可通过前置过滤（如map检测%0d%0a）、禁用/重写location头、校验host与跳转url、清除可疑set-cookie及启用x-frame-options/csp等安全头来有效缓解风险。
Nginx 本身不直接处理应用层的响应头拼接逻辑，因此它无法从根本上修复 HTTP 响应拆分漏洞（CRLF Injection）——这个漏洞的根源在于后端程序（如 PHP、Java、Python）将未经校验的用户输入直接写入 Location、Set-Cookie 或其他 HTTP 响应头字段中。但 Nginx 可以作为关键防线，通过前置过滤、头字段控制和请求拦截，显著降低该漏洞被利用的风险。
以下是从 Nginx 角度可落地的防护措施：
严格校验并过滤含 CRLF 的请求参数
攻击者常通过 URL 参数（如 ?redirect=）、Cookie 或 Header 注入 %0d%0a（即 \r\n）。Nginx 可在请求进入后端前识别并阻断：
- 使用
map指令检测请求中是否含 CRLF 字符（URL 编码或原始形式） - 配合
if和return拦截恶意请求
map $args $has_crlf {
~%0d 1;
~%0a 1;
~[\r\n] 1;
default 0;
}
if ($has_crlf) {
return 400 "Bad Request: CRLF detected";
}
注意：if 在 location 外慎用，建议放在 server 块顶层或配合 rewrite ... break 更安全。
禁止用户可控内容进入关键响应头
Nginx 不能替后端做重定向，但可以接管或覆盖高危响应头，避免后端错误输出被传递：
- 禁用后端返回的
Location头（若业务无需跳转）：proxy_hide_header Location;
- 强制重写
Location为白名单地址（适用于固定跳转场景）：location /safe-redirect { proxy_pass http://backend; proxy_redirect ~^https?://[^/]+(/.*)?$ $1; # 或更严格：只允许相对路径跳转 proxy_redirect ~^https?:// $scheme://$host/; } - 清除可疑的
Set-Cookie字段（如含\r\n的非法值）：more_clear_headers "Set-Cookie"; # 需 ngx_headers_more 模块
加固 Host 头与请求路径，切断注入入口
Host 头污染、开放重定向参数、任意 URL 回显是响应拆分常见载体：
- 限制合法 Host 值，拒绝非法 Host 请求（防 Host 头攻击延伸利用）：
if ($host !~ ^(example\.com|www\.example\.com)$ ) { return 444; } - 对重定向类接口（如
/jump?url=）强制校验目标域名：location /jump { if ($arg_url !~ ^https?://(example\.com|api\.example\.com)/) { return 403; } proxy_pass http://backend; } - 禁用
.git、.env等敏感路径，防止配置泄露辅助攻击：location ~ /\.(git|env|conf|log|ini)$ { deny all; }
启用安全响应头，缓解二次攻击影响
即使响应被拆分，强安全头可限制 XSS、会话劫持等后续危害：
- 防点击劫持：
add_header X-Frame-Options "DENY" always;
- 防 MIME 类型混淆：
add_header X-Content-Type-Options "nosniff" always;
- 启用内容安全策略（CSP），大幅降低注入脚本执行概率：
add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline';" always;
- 标记 Cookie 为 HttpOnly + Secure，防止 JS 窃取：
# 需后端设置，但 Nginx 可强制添加 Secure 属性（HTTPS 环境下） proxy_cookie_flags ~ secure httponly;
不复杂但容易忽略。核心原则是：Nginx 不修代码漏洞，但能堵住输入通道、约束输出行为、限制攻击后果。真正治本，仍需后端对所有用户输入做 CRLF 过滤（如 PHP 的 str_replace(["\r", "\n"], '', $input)）或使用安全重定向函数。
