nginx代理承担安全审计职责需四要素协同：自定义log_format记录真实ip、请求、状态、上游耗时及request_id；启用$request_body需配置proxy_pass与缓冲参数；按路径或状态分级记录并脱敏敏感字段；统一x-request-id实现跨组件攻击链追溯。

要让 Nginx 代理真正承担起后端服务的安全审计职责，关键不是转发请求，而是把每次调用的“上下文”——尤其是谁发的、发了什么、目标在哪、结果如何——完整、安全、可控地固化下来。这需要日志、请求体、标识、脱敏四者协同，缺一不可。

记录真实请求与响应上下文

默认 access_log 只记头信息，远不够审计。必须自定义 log_format，至少包含：$realip_remote_addr（还原真实 IP）、$request（含方法、URI、参数）、$status、$upstream_response_time、$request_id（全链路锚点）。示例：

log_format audit '{ "@timestamp": "$time_iso8601", "clientip": "$realip_remote_addr", "req": "$request", "status": $status, "upstream_time": $upstream_response_time, "req_id": "$request_id" }';

启用时注意：单独存放日志文件（如 /var/log/nginx/audit.log），并确保 nginx worker 对该路径有写权限。

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

可靠获取并控制请求体内容

$request_body 不是随时可用的变量。它只在 Nginx 主动读取并缓存请求体后才有效，且默认不启用。需同时满足：

• location 中必须配置 proxy_pass（或 fastcgi_pass 等）——静态响应或 return 指令不会触发读取
• 设置 client_body_buffer_size 512k 和 client_body_in_single_buffer on，确保常见 JSON 或表单数据驻留内存
• 禁用临时文件缓存：client_body_in_file_only off
• 限制大小防爆：client_max_body_size 1m（根据业务调整）

按需记录 + 敏感字段脱敏

全量记录 body 风险高、成本大。应分级处理：

• 仅对 4xx/5xx 错误或指定路径（如 /login、/api/auth）启用 body 记录，用 map 控制开关
• 日志格式中使用 escape=json 防止乱码或注入
• 密码、token、手机号等字段必须脱敏：通过 OpenResty 的 log_by_lua_block 解析 JSON，匹配 key 后替换值为 "***"
• 生产环境建议截断 body，例如只保留前 2048 字节，避免日志膨胀

统一 ID 实现跨组件攻击链还原

单靠 Nginx 日志无法闭环。必须让 WAF、限流模块、后端应用都共享同一标识：

• 用 $request_id 作为唯一请求 ID，在请求入口生成
• 透传至下游：proxy_set_header X-Request-ID $request_id;
• 所有组件（ModSecurity、应用日志、error_log）均以 X-Request-ID 字段落盘，格式严格一致
• 发现一次 SQL 注入拦截？直接用该 ID 在 access.log、WAF log、应用 error.log 中交叉检索，还原完整攻击路径