nginx路径映射安全加固需坚持“精确匹配+显式拒绝+路径净化”：限定静态资源根目录、禁用autoindex、用alias替代root；拦截../等路径遍历序列；优先^~前缀匹配；代理时剥离前缀并禁用动态proxy_pass。
请求路径映射是Nginx安全的关键环节，配置不当容易引发目录遍历、敏感文件泄露、越权访问等风险。加固核心在于“精确匹配 + 显式拒绝 + 路径净化”，而非依赖默认行为或模糊规则。
严格限制静态资源访问范围
静态文件服务必须限定在明确的根目录内，禁止向上逃逸。关键做法是禁用autoindex，并用alias或root配合精确location匹配：
- 避免使用
root搭配带变量的路径（如root /var/www/$subdomain），防止变量注入导致路径跳转 - 对静态资源目录统一使用
alias而非root，例如location /static/ { alias /opt/app/static/; }，确保路径拼接逻辑可控 - 显式关闭目录列表：
autoindex off;，防止攻击者通过路径猜测暴露文件结构 - 添加拒绝访问敏感路径的规则：
location ~ ^/(\.git|\.env|config\.php|logs/) { return 403; }
阻断路径遍历与非法字符
Nginx本身不自动解码或规范化URL路径，需主动拦截含危险序列的请求：
- 禁止
../、..%2f、%2e%2e%2f等编码变体：if ($request_uri ~ "(?:../|.%2e%2e/)") { return 403; } - 限制路径中只允许字母、数字、下划线、连字符和斜杠：
if ($request_uri !~ "^[/a-zA-Z0-9_.-]+$") { return 400; } - 注意：不建议在
if中使用$uri，因其已解码且可能被重写，应优先用$request_uri做原始校验
精细化location匹配与继承控制
location块的匹配顺序和作用域直接影响路径解析结果，错误嵌套会导致策略失效：
- 优先使用
^~前缀做前缀匹配（如location ^~ /api/），避免正则表达式干扰，提升性能与可预测性 - 避免在
location /中直接放proxy_pass，应拆分为具体路径，防止未定义路径意外转发到后端 - 在server块中设置
underscores_in_headers on;仅当业务必需，否则关闭以减少头部注入面 - 所有location块内显式声明
deny all;作为兜底，再逐条放开白名单路径，贯彻最小权限原则
代理场景下的路径净化
反向代理时，客户端传入的路径会原样转发给后端，若后端无二次校验，极易被绕过：
- 使用
proxy_redirect重写响应头中的Location，防止后端返回的跳转地址暴露内部路径 - 对代理路径做标准化处理：
rewrite ^/app/(.*)$ /$1 break;，再用proxy_pass http://backend;，剥离前端路径前缀 - 启用
proxy_set_header X-Original-URI $request_uri;供后端审计，但不依赖其做权限判断 - 禁止将用户可控参数直接拼入
proxy_pass目标地址（如proxy_pass http://$host;），防止SSRF
