nginx构建多层级安全防护网关需分阶段设防：路径级访问控制、连接与请求双限流、协议与头部加固、响应与日志增强，形成可验证的纵深防御体系。
Nginx 构建多层级安全防护网关，核心在于不依赖单一手段，而是按请求处理流程分阶段设防：从路径入口开始过滤，到连接与速率双控，再到协议与头部校验，最后落脚于日志审计与响应加固。每一层都承担明确职责，彼此不重叠、不替代，形成可验证、可收敛的纵深防御体系。
路径级访问控制：第一道过滤闸门
所有非法请求应尽可能在最早环节被拦截，避免进入后端或触发多余计算。重点是“只放行已知合法路径”，而非“封禁已知危险路径”。
- 用正则精确匹配业务 API 路径，例如：location ~ ^/api/v1/(users|orders|products)$ { proxy_pass http://backend; }
- 主动拒绝调试类、管理类、文档类等高风险路径：location ~ ^/api/v1/(admin|debug|swagger|actuator|health) { return 403; }
- 禁止访问敏感文件后缀：location ~ \.(env|git|yml|log|bak|sql|htaccess)$ { return 404; }
- 显式阻断目录遍历和隐藏文件：location ~ /\.|/\.\. { return 403; }
连接与请求双限流：应对不同攻击形态
仅限速率易被慢速连接绕过，仅限连接数又挡不住高频短连接扫描。必须组合使用，且针对不同路径差异化配置。
- 定义两个独立共享内存区：limit_conn_zone $binary_remote_addr zone=perip:10m; 和 limit_req_zone $binary_remote_addr zone=perip_req:10m rate=50r/s;
- 全局基础防护：limit_conn perip 30;（单 IP 最多 30 并发） + limit_req zone=perip_req burst=100 nodelay;
- 对登录、密码重置等敏感路径加严：location /auth/login { limit_req zone=perip_req burst=5 nodelay; }
- 对静态资源路径可放宽速率但限制连接数，避免耗尽资源
协议与头部加固：堵住常见绕过入口
很多攻击利用协议松散、头信息伪造、方法滥用实现绕过。Nginx 应在网关层统一收口，不把责任推给后端。
- 强制 HTTPS 并禁用旧协议：if ($scheme = http) { return 301 https://$host$request_uri; }，配合 ssl_protocols TLSv1.3;
- 清理并标准化真实客户端 IP：map $http_x_forwarded_for $real_ip { "" $remote_addr; default $remote_addr; }，后续限流与日志均基于 $real_ip
- 严格限制 HTTP 方法：if ($request_method !~ ^(GET|HEAD|POST|PUT|DELETE|PATCH|OPTIONS)$) { return 405; }
- 拒绝空 User-Agent 或已知扫描工具 UA：if ($http_user_agent ~* "(nmap|sqlmap|nikto|wget|curl)") { return 403; }
响应与日志增强：让防护可追溯、可验证
安全不只是拦截，更是记录与反馈。清晰的日志格式和可信的响应头，能极大提升排查效率与客户端行为规范性。
- 注入关键安全响应头：add_header X-Content-Type-Options "nosniff" always;、add_header X-Frame-Options "DENY" always;、add_header Content-Security-Policy "default-src 'self';" always;
- 扩展日志字段，包含真实 IP、上游响应时间、请求体大小等：log_format main '$real_ip - $remote_user [$time_local] "$request" $status $body_bytes_sent "$http_referer" "$http_user_agent" rt=$request_time uct="$upstream_connect_time" urt="$upstream_response_time"';
- 对拦截行为单独记录日志，便于分析攻击模式：error_log /var/log/nginx/block.log warn; 配合 return 403; 前加 access_log /var/log/nginx/block.log blocked;
