如何利用 Nginx 实现 HTTPS 链路下的请求过滤-Nginx-PHP中文网

nginx https请求过滤核心是ssl终止后基于http层规则生效：需先正确配置ssl（listen 443 ssl http2、有效证书），再在server或location块中通过if、location正则、valid_referers、limit_req等实现方法/路径/referer/ip等维度过滤，统一返回444更隐蔽，且须避开tls握手阶段处理。

如何利用 nginx 实现 https 链路下的请求过滤

在 Nginx 的 HTTPS 链路中实现请求过滤，核心在于：HTTPS 解密发生在 Nginx 层（即 SSL/TLS 终止），之后所有 HTTP 层规则（如请求方法、Header、URI、Referer、IP 等）均可正常生效。因此，HTTPS 下的请求过滤与 HTTP 基本一致，但需注意配置位置和依赖条件。

确保 HTTPS 已正确启用

请求过滤必须建立在 HTTPS 正常工作基础上：

已编译安装 Nginx 并启用 --with-http_ssl_module
配置了有效的证书与私钥（推荐使用 Let’s Encrypt 的 fullchain.pem + privkey.pem）
监听 443 端口并开启 SSL：listen 443 ssl http2;
避免在未解密的 TLS 层做过滤（Nginx 不支持对加密载荷内容做匹配）

基于请求方法与路径的过滤

在 server 或 location 块中直接限制非法操作：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

禁用危险 HTTP 方法（如 PUT、DELETE、TRACE）：

if ($request_method !~ ^(GET|HEAD|POST|OPTIONS)$) {
    return 444;
}

拦截敏感路径（如后台接口、调试端点）：

location ~ ^/(admin|phpinfo|\.git|\.env) {
    deny all;
}

统一返回 444（关闭连接）比 403/405 更隐蔽，减少攻击者信息获取

基于 Referer 和 Header 的访问控制

适用于防盗链或 API 调用来源校验：

防止图片等静态资源被外部盗链：

location ~* \.(jpg|jpeg|png|gif|webp)$ {
    valid_referers none blocked server_names *.example.com;
    if ($invalid_referer) {
        return 403;
    }
}

强制要求特定 Header（如 API Token）：

if ($http_x_api_token = "") {
    return 401;
}

注意：if 在 location 中慎用；复杂逻辑建议用 map 或 Lua 模块替代

结合限流与动态黑名单

HTTPS 流量同样可被速率限制和实时封禁：

定义共享内存区与限流规则（作用于解密后的请求）：

limit_req_zone $binary_remote_addr zone=perip:10m rate=10r/s;
server {
    listen 443 ssl;
    ...
    location /api/ {
        limit_req zone=perip burst=20 nodelay;
    }
}

配合 geo + map 实现 IP 黑名单：

geo $blocked_ip {
    default 0;
    192.168.10.200 1;
    2001:db8::1 1;
}
map $blocked_ip $blocked {
    1 403;
    0 "";
}
server {
    ...
    if ($blocked) { return $blocked; }
}