nginx 作为唯一可信入口保护后端微服务：关闭所有后端端口（如8001/8002），仅开放80/443；通过路径前缀路由（如/user/→127.0.0.1:8001）隐藏拓扑；透传host、x-real-ip、x-forwarded-for等关键请求头；配置访问控制、安全响应头及双向tls，全面屏蔽暴露风险。
用 Nginx 保护后端私有微服务接口，核心是让它成为唯一可信入口，把所有非授权访问挡在外面，同时不让后端暴露任何细节。
只开 80/443，关掉所有后端端口
这是最基础也最关键的一步。用户服务跑在 127.0.0.1:8001，订单服务在 127.0.0.1:8002，这些端口必须对公网、甚至内网其他机器彻底关闭。只能允许 Nginx 进程本地访问（比如用 iptables 或云安全组限制）。Nginx 自己只监听 80 或 443，所有流量必须先过它。
- 避免直接暴露
http://192.168.1.100:8001/user/profile这类地址 - 后端服务配置绑定
127.0.0.1而非0.0.0.0，从源头杜绝直连可能 - 检查防火墙规则，确认除 Nginx 外无其他进程能监听或访问这些端口
用路径前缀做服务路由，不暴露真实拓扑
客户端只认统一域名和路径，完全不知道背后是谁、在哪、用什么技术部署。比如：
-
/user/→ 转发到http://127.0.0.1:8001/（注意末尾/，会自动剥离前缀） -
/order/→ 转发到http://127.0.0.1:8002/ -
/auth/→ 转发到http://127.0.0.1:8003/
这样 https://api.example.com/user/login 看起来就是一个普通路径，实际调用的是哪个 IP、端口、容器或 Pod，对外完全不可见。
透传关键请求头，保留原始上下文
后端需要知道真实客户端信息，Nginx 必须主动传递，否则日志、限流、鉴权都会出错：
-
proxy_set_header Host $host;—— 保持原始 Host -
proxy_set_header X-Real-IP $remote_addr;—— 真实来源 IP -
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;—— 支持多层代理链 -
proxy_set_header X-Forwarded-Proto $scheme;—— 告诉后端当前是 http 还是 https
如果前端经过 CDN 或负载均衡，还需配合 set_real_ip_from 和 real_ip_header 正确还原真实 IP。
加一层访问控制，按需拦截非法请求
不是所有路径都该被公开。Nginx 可以在网关层就做精细化过滤：
- 用正则拒绝敏感路径：
location ~ ^/api/v1/(admin|debug|config) { return 403; } - 限制 HTTP 方法：
if ($request_method !~ ^(GET|HEAD|POST|PUT|DELETE|OPTIONS)$) { return 405; } - 对管理接口设 IP 白名单：
allow 10.0.0.0/8; deny all; - 启用双向 TLS 认证保护高敏接口：
ssl_verify_client on;并只对/api/v1/private这类路径生效
这类策略不依赖业务代码，改完 Nginx 配置立刻生效，响应也更轻量。
补充安全头与响应防护
隐藏自身信息，防止被探测利用：
- 关掉版本号：
server_tokens off; - 防 XSS：
add_header X-XSS-Protection "1; mode=block" always; - 防 MIME 类型嗅探：
add_header X-Content-Type-Options "nosniff" always; - 防 iframe 嵌套：
add_header X-Frame-Options "DENY" always; - 加 CSP 头限制资源加载范围
这些头由 Nginx 统一注入，后端无需感知，也不用每台服务单独配置。
