使用 Nginx 的 $request_uri 配合 map 指令可高效拦截后台路径扫描，通过预定义敏感路径映射表（如 /admin、/wp-admin 等）并设 default ""，在 server 块中用 if ($block_admin_path) { return 400; } 实现轻量级防护，支持大小写不敏感正则匹配、前缀/精确匹配，避免 rewrite 和 if 性能陷阱。
直接用 Nginx 的 $request_uri 配合 map 指令，可以高效、低开销地拦截常见后台路径扫描，无需 rewrite 或 if，避免性能陷阱和逻辑漏洞。
定义敏感路径的 map 映射表
在 http 块中预先声明一个 map，将匹配到的危险 URI 路径映射为非空值（如 1），其余默认为空字符串。注意：map 不支持正则捕获，但支持前缀匹配和精确匹配，适合防御已知高频扫描路径。
示例配置：
map $request_uri $block_admin_path {
default "";
~*^/admin/?$ 1;
~*^/administrator/?$ 1;
~*^/wp-admin/?$ 1;
~*^/backend/?$ 1;
~*^/phpmyadmin/?$ 1;
~*^/login\.php$ 1;
~*^/manage\.jsp$ 1;
~*^/console/?$ 1;
}说明：
• 使用 ~* 表示大小写不敏感正则匹配；
• ^/xxx/?$ 精确匹配路径开头和结尾，允许末尾可选斜杠；
• default "" 是关键，确保未命中时不产生副作用；
• 所有规则按顺序匹配，首个满足即终止，建议高频路径靠前。
在 server 或 location 中触发拦截
利用 $block_admin_path 变量在请求处理早期做判断。推荐放在 server 块顶层或核心 location / 内，避免遗漏。
示例：
server {
listen 80;
server_name example.com;
<pre class="brush:php;toolbar:false;">if ($block_admin_path) {
return 400;
}
# 后续正常配置...
location / {
try_files $uri $uri/ =404;
}}
⚠️ 注意：
• Nginx 允许在 if 中使用 map 变量，且此处仅做判断+return，无变量赋值或复杂逻辑，属于安全可用范围；
• 不要用 if 做 proxy_pass 或重写，这里只返回状态码，开销极小；
• 若需日志记录，可加 access_log /var/log/nginx/block.log main if=$block_admin_path;。
增强实用性的小技巧
-
合并相似路径：用
~*^/(admin|backend|manage)/?$减少 map 条目，但注意避免误杀（如/admin-api/不应被拦）； - 排除白名单 IP：结合 geo 模块或 real_ip，对运维出口 IP 跳过拦截；
-
配合限速更稳妥：对触发
$block_admin_path的客户端，在 log_format 中标记，再用 limit_req 做二次防护； - 避免过度依赖：map 无法替代 WAF 或登录认证，它只是第一道轻量过滤，防自动化扫库，不防人工渗透。
验证是否生效
用 curl 测试典型路径：
curl -I http://example.com/admin # 应返回：HTTP/1.1 400 Bad Request <p>curl -I <a href="https://www.php.cn/link/5dfa66d02d80ad9daebcc772570ae369">https://www.php.cn/link/5dfa66d02d80ad9daebcc772570ae369</a></p><h1>应返回：HTTP/1.1 200 OK（或正常后端响应）</h1>
同时检查 error.log 是否有 “client sent invalid request” 类提示——没有说明 return 正常触发；若有，则可能是 map 规则未匹配或语法错误。
