nginx原生指令可构建静态资源安全过滤机制：先禁目录浏览（autoindex off）、再限制请求方法（仅get/head）、接着按ip精准控制访问、最后可选集成modsecurity+owasp crs增强防护。
直接用 Nginx 原生指令组合就能为静态资源建起一道实用、可靠的安全过滤机制，不需要额外装防火墙模块。核心是分层控制：先锁路径、再限方法、接着控来源，最后按需增强防护。
关闭目录浏览，堵住资源泄露口
如果静态目录下没有 index 文件（比如 /images/），默认可能列出所有文件名，暴露备份文件、敏感配置甚至用户上传内容。这不是功能，是风险。
- 在对应 location 块中明确写：autoindex off;
- 若调试时临时需要开启，必须叠加 IP 限制或基础认证，绝不能对公网开放
- 搭配 try_files $uri =404; 可进一步避免因路径拼接错误导致的意外访问
只放行合法请求方法
静态资源天生只响应 GET 和 HEAD。POST、PUT、DELETE 等方法不仅无意义，还常被扫描器和自动化工具滥用。
- 在 location 块内加一行：if ($request_method !~ ^(GET|HEAD)$) { return 405; }
- 这条规则安全有效，但必须放在 location 内；不要写在 server 或 http 级别，否则可能干扰重写逻辑
- 返回 405（Method Not Allowed）比 403 更语义准确，也便于前端识别问题
按 IP 实施精准访问控制
适用于管理后台静态页、灰度资源、内部文档等场景。规则按顺序匹配，先写的优先生效。
- 示例：仅允许两个运维 IP 访问 /admin-static/：
location /admin-static/ { allow 192.168.10.5; allow 203.0.113.12; deny all; } - 屏蔽已知恶意段：deny 198.51.100.0/24;
- 注意：deny all 必须放在最后，否则会截断后续 allow 规则
进阶防护：集成 ModSecurity + OWASP CRS
当需要防御 SQL 注入、XSS、路径遍历等攻击时，ModSecurity 是成熟可靠的 WAF 引擎，Nginx 有官方支持的动态模块。
- 安装（以 CentOS Stream 为例）：sudo dnf install nginx-mod-modsecurity
- 启用配置（放在 server 或 http 块中）：
modsecurity on;
modsecurity_rules_file /etc/nginx/modsecurity.conf; - 推荐搭配 OWASP Core Rule Set（CRS），开箱即用拦截常见攻击特征，无需手写复杂正则
