https配置需配合完整安全响应头才能有效抗攻击：hsts强制https、x-frame-options防点击劫持、x-xss-protection防xss、x-content-type-options防mime混淆、csp与referrer-policy精细化控制资源加载和隐私泄露，并关闭版本暴露、限制上传大小、禁用危险http方法。
HTTPS 配置本身只是加密传输的第一步，真正提升网站抗攻击能力的关键，在于配合一套完整、合理、可落地的安全响应头。这些头信息直接作用于浏览器行为，能有效缓解 XSS、点击劫持、MIME 混淆、信息泄露等常见风险。
强制 HTTPS 并启用 HSTS
仅配置 HTTPS 不够，必须让浏览器“记住”只走加密通道：
- 在 443 端口的 server 块中添加：
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"; - max-age=31536000 表示一年内强制 HTTPS；includeSubDomains 覆盖所有子域名；preload 是可选但推荐项，为后续提交至浏览器 HSTS 预加载列表做准备
- 确保 HTTP（80 端口）server 块中已配置 301 重定向：
return 301 https://$host$request_uri;
防御点击劫持与 XSS 渲染风险
这两类头应作为基础标配，放在所有 server 或 http 块中（HTTP/HTTPS 均适用）：
-
X-Frame-Options: SAMEORIGIN —— 阻止页面被嵌入到其他域名的 iframe 中，防点击劫持
add_header X-Frame-Options SAMEORIGIN; -
X-XSS-Protection: 1; mode=block —— 启用浏览器内置 XSS 过滤器，并在检测到攻击时阻断渲染
add_header X-XSS-Protection "1; mode=block"; -
X-Content-Type-Options: nosniff —— 禁止浏览器根据响应内容猜测 MIME 类型，防止 JS/CSS 被错误解析执行
add_header X-Content-Type-Options nosniff;
精细化控制资源加载与隐私泄露
Content-Security-Policy 和 Referrer-Policy 是现代防御体系的核心组件：
-
Content-Security-Policy 应按业务最小化原则定制，例如：
add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'; style-src 'self' 'unsafe-inline'; img-src 'self' data:; font-src 'self' data:; connect-src 'self'; frame-ancestors 'none'; object-src 'none'; base-uri 'self'; form-action 'self';";
注意：若使用内联脚本或 eval，需保留'unsafe-inline'和'unsafe-eval'；生产环境建议移除并改用 nonce 或 hash 方式 -
Referrer-Policy 控制 Referer 头发送范围，推荐：
add_header Referrer-Policy "strict-origin-when-cross-origin";
比no-referrer-when-downgrade更严格，跨域请求时只发源站 origin，不泄露路径
隐藏服务指纹与限制请求行为
安全加固不仅是加头，也包括“减信息”和“控行为”：
- 在 http 块中关闭版本暴露：
server_tokens off; - 限制上传体大小，防大文件耗尽资源：
client_max_body_size 10M;（可放在 http/server/location） - 禁用危险 HTTP 方法（如 PUT、DELETE、TRACE）：
if ($request_method !~ ^(GET|HEAD|POST|OPTIONS)$ ) { return 405; }
