nginx 通过 map 预定义 uri 和参数风险标识，在 http 块中统一实现轻量高效安全过滤，于请求抵达 php-fpm 前拦截 sqli/xss 等高危特征。
直接在 Nginx 的 FastCGI 场景中做安全过滤，核心不是靠 FastCGI 本身，而是靠 Nginx 原生能力 + 外挂模块协同，在请求抵达 PHP-FPM 前就识别并拦截高危特征。FastCGI 只负责转发，真正的“过滤”必须前置。
用 map 预标记 + if 统一拦截（轻量高效）
避免在每个 location ~ \.php$ 里堆叠 if，改用 http 块预计算风险标识：
- 定义 URI 风险映射：map $request_uri $is_sqli { default 0; ~*"(?i)\b(union|select|insert|drop|exec|declare)\b" 1; ~*"\.\./|/etc/passwd|/proc/self/environ" 1; }
- 定义参数风险映射：map $args $is_xss { default 0; ~*"(?i)<script>|prompt|confirm" 1; }</script>
- 在 php location 中统一判断：if ($is_sqli = 1) { return 403; } if ($is_xss = 1) { return 403; }
启用 SecRequestBodyAccess 解析 POST 内容
默认 Nginx 不读取 $request_body，导致所有 POST 类注入（如表单提交的 SQL 片段）完全绕过规则：
- 必须开启：fastcgi_pass_request_body on;（让 body 透传给后端）
- 同时设：SecRequestBodyAccess On;（ModSecurity 才能访问原始 body）
- 若不用 ModSecurity，可用 Lua 模块：access_by_lua_block { if ngx.var.request_body and ngx.var.request_body:match("union%s+select") then ngx.exit(403) end }
加固 FastCGI 头部与执行上下文
攻击者常伪造 FastCGI 参数或滥用环境变量触发 RCE：
- 禁用危险变量传递：fastcgi_param PHP_VALUE "disable_functions=exec,system,passthru,shell_exec";
- 限制脚本执行路径：fastcgi_param SCRIPT_FILENAME /var/www$fastcgi_script_name;（不用 $document_root 拼接，防路径遍历）
- 校验 Host 头防虚拟主机劫持：if ($host !~ ^(example\.com|www\.example\.com)$) { return 444; }
配合日志与限流形成闭环
仅拦截不够，需记录、分析、响应：
- 单独记录被拦请求：log_format blocked '$remote_addr - $request_uri $args $status $http_user_agent'; access_log /var/log/nginx/blocked.log blocked if=$is_sqli;
- 对高频触发 IP 自动限速：geo $bad_ip { default 0; 192.168.5.100 1; } map $bad_ip $limit { 1 $binary_remote_addr; } limit_req zone=block burst=1 nodelay;
- 上传接口单独放行 body 解析，但加额外校验：location ~ \.(php|phar)$ { client_max_body_size 2m; ... }
