nginx源码安装安全审计需从编译、运行、配置、tls四层面切入：编译阶段禁用冗余模块（如--without-http_ssi_module）；运行阶段确保worker进程以非root用户（如nginx）运行；配置阶段关闭server_tokens、autoindex等高危项；tls阶段仅启用tlsv1.2+并禁用弱密码套件。
源码安装的 Nginx 本身不带默认安全配置，风险往往藏在编译选项、运行时权限和后续手工配置中。安全审计重点不是“装得对不对”，而是“装完之后有没有埋下隐患”。关键要从三个层面切入：编译阶段是否精简、运行阶段是否降权、配置阶段是否加固。
一、编译参数审计：砍掉所有不用的模块
源码安装时若未显式禁用非必要模块，就等于主动扩大攻击面。必须检查 configure 命令中是否包含 --without-* 类参数：
- 禁用 FTP 模块：--without-http_ftp_module（避免 FTP 协议相关漏洞）
- 禁用 SSI 模块：--without-http_ssi_module（防止服务端包含注入）
- 禁用 WebDAV：--without-http_dav_module（规避 PROPFIND/PUT 等高危方法滥用）
- 禁用空闲模块：--without-mail_pop3_module --without-mail_imap_module --without-mail_smtp_module（除非真做邮件代理）
执行 nginx -V 2>&1 | grep "configure arguments" 可直接回看编译命令。若输出中没出现任何 --without 参数，基本可判定存在冗余模块风险。
二、运行权限审计：杜绝 root 启动
即使编译干净，若以 root 身份运行 worker 进程，一次配置失误或模块漏洞就可能导致提权。需确认两点：
- 主配置文件中 user 指令是否明确指定非特权用户，例如 user nginx; 或 user www-data;
- 实际进程属主是否匹配：运行 ps -eo user,comm | grep nginx，确保 worker process 的 user 列不是 root
若发现 master process 是 root（合理）、但 worker process 也是 root，则说明 user 指令未生效或配置被覆盖，需检查 include 路径是否加载了冲突配置。
三、基础配置审计：从 nginx.conf 开始扫雷
源码安装后首次使用的 nginx.conf 往往是官方默认模板，含多项高危默认项。必须人工核对以下几处：
- server_tokens off; —— 检查是否关闭服务器版本标识，防止暴露 Nginx 版本号
- autoindex off; —— 确认未开启目录浏览，避免敏感路径被遍历
- client_max_body_size 10m; —— 是否设限，防大文件上传耗尽磁盘或内存
- limit_conn_zone $binary_remote_addr zone=addr:10m; + limit_conn addr 10; —— 是否有基础连接数限制，缓解 CC 攻击
- error_log /var/log/nginx/error.log warn; —— 错误日志级别是否设为 warn 或更高，确保关键异常不被淹没
这些不是“可选优化”，而是等保二级明确要求的基础控制点。漏掉任意一项，都可能在测评中被直接扣分。
四、TLS 配置审计：不能只看有没有 HTTPS
源码安装常搭配自签证书或旧版 OpenSSL，容易忽略协议与密码套件合规性。需验证：
- ssl_protocols 是否仅启用 TLSv1.2 和 TLSv1.3，已禁用 TLSv1.0/1.1 和 SSLv3
- ssl_ciphers 是否排除弱算法（如 RC4、MD5、SHA1、EXPORT），优先使用 ECDHE+AES-GCM 组合
- 是否设置 add_header Strict-Transport-Security "max-age=31536000; includeSubDomains"; 实现 HSTS 强制跳转
可用 openssl s_client -connect yourdomain.com:443 -tls1_2 手动测试协议支持，或用在线工具（如 SSL Labs）扫描评分，低于 A 级即存在配置缺陷。
