提高nginx静态资源传输安全性核心是构建端到端可信链路：强制https（tlsv1.2/1.3+hsts）、注入强安全响应头（csp/x-frame-options等）、拦截危险路径与方法、关闭版本暴露并以非root用户最小权限运行。
提高 Nginx 静态资源服务的传输安全性，核心是让数据在“传输中不被窃听、篡改或劫持”，而不是只靠加密完事。关键在于端到端可信链路 + 浏览器主动约束 + 服务自身收敛风险面。
强制 HTTPS 并终止 TLS 在 Nginx 层
所有静态资源必须走 HTTPS，且加密解密由 Nginx 统一完成，避免后端参与加解密带来额外复杂度和潜在漏洞：
- 监听 443 端口并配置有效证书：
listen 443 ssl http2;，证书路径指向fullchain.pem和privkey.pem - 仅启用安全协议：
ssl_protocols TLSv1.2 TLSv1.3;，禁用 TLSv1.0/1.1（PCI DSS 和等保要求） - 使用前向保密套件：
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;，并设ssl_prefer_server_ciphers on; - HTTP 请求自动跳转：
return 301 https://$host$request_uri;（放在 80 server 块中）
注入强安全响应头约束浏览器行为
光有 HTTPS 不够，需通过响应头告诉浏览器“怎么加载、怎么渲染、怎么防护”：
- HSTS 强制后续访问只走 HTTPS：
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always; - CSP 限制资源加载来源：
add_header Content-Security-Policy "default-src 'none'; script-src 'self'; style-src 'self' 'unsafe-inline'; img-src 'self' data:; font-src 'self'; connect-src 'self'; base-uri 'self'; form-action 'self';" always; - 防 MIME 嗅探：
add_header X-Content-Type-Options nosniff; - 防点击劫持：
add_header X-Frame-Options DENY; - 启用 XSS 过滤器：
add_header X-XSS-Protection "1; mode=block";
切断未授权访问路径与敏感文件暴露
传输再安全，若文件本身能被任意路径猜出或遍历，就等于开门揖盗：
- 关闭目录索引：
autoindex off;（显式声明，不依赖默认） - 拦截危险后缀：
location ~ \.(git|htaccess|log|bak|swp|orig|conf)$ { return 404; } - 限制 HTTP 方法：
limit_except GET HEAD { deny all; }（比 if 更高效、更可靠） - 对管理类静态资源（如
/admin-assets/）叠加 IP 白名单：allow 10.0.1.0/24; deny all;
隐藏服务指纹并最小化权限运行
减少攻击者可获取的信息量，同时降低被攻破后的危害程度：
- 关闭版本标识：
server_tokens off;（防止利用已知 CVE 精准打击） - 以非 root 用户运行：
user nginx;，静态目录属主设为该用户，权限控制为644（文件）和755（目录） - 避免日志泄露敏感字段：用
map脱敏password、token等参数，IP 地址哈希截取前 8 位再记录
