Nginx 中 Rewrite 规则怎么检测特定网络段的内部访问进行白名单放行-Nginx-PHP中文网

nginx 白名单放行必须用 allow/deny 指令配合 location 块，rewrite 仅用于重写或跳转，不参与访问控制；需结合 set_real_ip_from 和 real_ip_header 处理代理场景，且规则顺序必须 allow 在前、deny all 在后。

nginx 中 rewrite 规则怎么检测特定网络段的内部访问进行白名单放行

在 Nginx 中，不能直接用 rewrite 指令实现白名单放行——rewrite 专用于 URL 重写或跳转，不处理访问控制。真正做网段白名单放行，必须用 allow/deny 指令配合 location 块；若需“检测+放行+其他动作”，应组合 geo + if + rewrite（仅限必要跳转场景），但核心鉴权仍由 access 模块完成。

白名单逻辑必须靠 allow/deny 实现

rewrite 不参与 IP 判定，也不影响请求是否被允许。Nginx 的访问控制由 ngx_http_access_module 负责，只响应 allow 和 deny 指令。要让特定网段（如办公内网 10.20.0.0/16）放行，其余拒绝，标准写法是：

Nginx Config Linter

对 Nginx 配置文件进行语法检查、验证和安全、性能审计。

下载

把规则放在 location / 或更精确的路径块内（如 location /admin）
按顺序写多个 allow，最后必须加 deny all;
例如：

location / {
  allow 10.20.0.0/16;
  allow 127.0.0.1;
  deny all;
}

如果前端有代理，必须还原真实客户端 IP

当请求经过 SLB、CDN 或前置 Nginx 时，$remote_addr 是代理地址，不是真实来源。此时白名单会失效。解决方法是：

在 http 或 server 块开头配置信任代理段：
set_real_ip_from 100.64.0.0/10;
real_ip_header X-Forwarded-For;
注意：allow/deny 仍基于 $remote_addr 工作，它已被 real_ip 模块覆盖为真实 IP，无需额外变量
验证是否生效：用 curl -H "X-Forwarded-For: 10.20.5.100" 测试，看是否能通过

需要 rewrite 配合的典型场景（非鉴权主体）

极少数情况需在放行后触发跳转（如内网用户自动跳转到调试页），可借助 geo 定义标记，再用 if 触发 rewrite：

先用 geo 标记可信网段：
geo $is_internal {
default 0;
10.20.0.0/16 1;
}
在 location 中判断并跳转：
if ($is_internal) {
rewrite ^/login$ /debug-login permanent;
}
⚠️ 注意：if 在 location 内才安全；且 rewrite 是附加动作，白名单本身仍靠 allow/deny