nginx 是 hyperf 单机部署的第一道安全屏障，必须在请求抵达 php-fpm 前拦截非法 host、恶意 sni、异常路径及伪造头；通过 default_server 返回 444、启用 ssl_reject_handshake、限速限连、隐藏指纹等精准策略，实现高效安全防护。
Hyperf 单机部署中，Nginx 不是可选的“辅助组件”，而是第一道安全屏障。它必须在请求抵达 PHP-FPM 或 Hyperf 应用前，就完成非法 Host、恶意 SNI、异常路径、伪造头等拦截。加固不是加功能，而是做减法——只放行明确允许的，其余一律沉默拒绝。
精准拦截非法 Host 与 IP 直连
Hyperf 默认不校验 Host 头，若 Nginx 放行任意 Host，攻击者可构造 Host: admin.internal 或 Host: 192.168.1.100 绕过域名访问控制，甚至触发内部重定向或 SSRF。
- 定义唯一兜底 server：监听 80 和 443，标记
default_server，server_name _ - HTTP 层返回
return 444（直接断连，不发任何响应） - HTTPS 层必须配真实证书（不能用自签占位），同样
return 444，避免 TLS 握手后暴露错误页 - 主业务 server 中
server_name严格列出所有合法域名，如api.example.com admin.example.com，禁用通配符和下划线域名
阻断 TLS 层探测，让扫描器一无所获
传统 444 拦截发生在 HTTP 解析后，而攻击者用 openssl s_client -servername fake.com 就能在握手阶段收集服务指纹。真正防探测，要让它连证书都拿不到。
- 在
http { }块顶层启用ssl_reject_handshake on; - 每个 HTTPS server 必须显式声明
server_name，且不含泛域名（如*.example.com） - 验证方式：执行
openssl s_client -connect your.ip:443 -servername evil.test，应返回SSL routines::UNRECOGNIZED_NAME，且无Certificate:输出
限制管理路径，防爆破与扫描
Hyperf 的 /admin、/debug、/health 等路径极易成为扫描目标。Nginx 需在入口处限速、限连、限方法，不给后端增加负担。
- 为敏感路径单独设限速区：
limit_req_zone $binary_remote_addr zone=admin:10m rate=2r/m; - 在对应 location 中启用：
limit_req zone=admin burst=1 nodelay; - 限制单 IP 最多 2 个并发连接：
limit_conn_zone $binary_remote_addr zone=admin_conn:10m;+limit_conn admin_conn 2; - 禁止非标方法：
if ($request_method !~ ^(GET|HEAD|POST|OPTIONS)$) { return 405; }（仅放在 admin location 内）
隐藏指纹，杜绝信息泄露
哪怕拦截成功，若响应中含 Server: nginx/1.24.0、默认错误页、PHP 版本或堆栈，仍会被用于二次分析和漏洞匹配。
- 全局关闭版本标识：
server_tokens off;（放在 http 块） - 删除默认欢迎页，清空
/usr/share/nginx/html/下所有文件 - 自定义 400/403/404/497 错误页，内容仅含简短提示，不带路径、服务器名、时间戳
- 移除或覆盖
Server响应头（需ngx_headers_more模块）：more_clear_headers "Server";
Hyperf 本身轻量，但安全水位由 Nginx 定义。这些配置不依赖 PHP 层逻辑，也不增加运行时开销，却能挡住 95% 的自动化探测与基础攻击。关键不在“全”，而在“准”——每条规则都指向一个明确的非法行为模式。
