可通过nginx的map指令结合allow/deny或状态码实现基于域名的白名单控制：先用map提取host头或sni域名映射为标记变量，再在server或stream块中依据变量返回403或444拒绝非法请求；支持http/https通用控制及sni阶段更早拦截，并可联合真实ip做双重校验增强安全性。
可以通过 Nginx 的 map 指令结合 allow/deny 或返回状态码的方式，实现基于域名的请求白名单控制。核心思路是：提取请求中的 Host 头或 SNI 域名（HTTPS 场景需配合 SSL/TLS 配置），匹配预设白名单，放行合法域名，拒绝其余请求。
提取并匹配 Host 头（HTTP/HTTPS 通用）
Nginx 默认可读取 HTTP 请求头中的 Host 字段。利用 map 将 Host 映射为一个标记变量，再在 server 块中依据该变量控制访问。
- 在
http块中定义白名单映射：
default 0;
example.com 1;
api.myapp.com 1;
admin.myapp.com 1;
}
- 在对应
server块中拦截非白名单请求：
listen 80;
listen 443 ssl;
# ... SSL 配置省略
if ($is_allowed = 0) {
return 403;
}
# 正常 location 配置...
}
注意：if 在 location 中使用受限，建议放在 server 级别；且避免在 if 中嵌套 proxy_pass 等指令。
针对 HTTPS 的 SNI 域名（更早阶段拦截）
若需在 TLS 握手阶段就拒绝非法域名（减少资源消耗），仅靠 Host 头不够——因为 Host 是 HTTP 层字段，而 TLS 握手时还未解密 HTTP。此时需依赖 ssl_preread 模块（Nginx 1.11.5+）读取 SNI 域名：
- 启用预读模块，在
stream上下文中配置：
upstream backend_http {
server 127.0.0.1:8080;
}
map $ssl_preread_server_name $allowed {
default 0;
example.com 1;
api.myapp.com 1;
}
server {
listen 443 ssl preread;
if ($allowed = 0) {
return 444; # 立即关闭连接，无响应
}
proxy_pass backend_http;
ssl_preread on;
}
}
该方式不解析 HTTP，只靠 SNI 判断，性能更高，但无法获取 URL 路径等信息，适合纯域名级准入控制。
结合真实 IP 与域名做联合校验（增强安全性）
单一 Host 或 SNI 可被伪造（如修改 Host 头）。如需更严格控制，可搭配可信来源 IP 白名单（例如只允许来自 CDN 或反向代理的请求）：
- 先用
set_real_ip_from和real_ip_header正确识别客户端真实 IP； - 再用
geo或map对 IP + Host 组合做双重判断； - 示例逻辑：仅当请求来自指定 CDN IP 段 且 Host 在白名单内时才放行。
这种组合能有效防止直接绕过 DNS 或 Host 头伪造的访问。
调试与验证技巧
上线前务必测试，常用方法：
- 用
curl -H "Host: evil.com" http://your-server/检查是否返回 403； - 对 HTTPS 测试：用
openssl s_client -connect your-server:443 -servername evil.com观察连接是否被444中断； - 开启 Nginx error log 的 debug 级别（临时），确认
$host和$ssl_preread_server_name取值是否符合预期。
不复杂但容易忽略细节，比如 Host 匹配区分大小写、带端口的 Host（如 example.com:8080）需显式列出，或统一用正则 map 处理。
