精简与安全裁剪nginx需在编译阶段显式禁用冗余模块（如--without-http_rewrite_module）、不安装非必要开发库、指定低权限用户运行，并在配置中关闭版本号、限制http方法；最终通过nginx -v和curl验证裁剪生效。
对编译安装的 Nginx 进行精简与安全裁剪，核心是“只留必需、禁用冗余、隐藏暴露、降权运行”。这不是简单删配置，而是在源码编译阶段就从二进制层面剔除攻击面和潜在风险模块，同时收紧运行时权限。效果直接：体积可减少 30%–40%，攻击向量显著收窄，启动更轻快，维护更可控。
一、编译前：最小化依赖，避免隐式启用模块
不装非必要开发库，能防止 configure 自动探测并启用关联模块（比如装了 libxml2 可能意外启用 xslt 模块）：
- Debian/Ubuntu 执行：apt-get install -y build-essential libpcre3-dev zlib1g-dev（不装 openssl-dev、libxml2-dev、libxslt-dev 等）
- CentOS/RHEL 执行：yum groupinstall "Development Tools" -y && yum install pcre-devel zlib-devel -y（跳过 openssl-devel、geoip-devel 等）
- 下载纯净官方源码，例如：wget https://nginx.org/download/nginx-1.24.0.tar.gz，解压后不打任何第三方补丁
二、configure 阶段：显式禁用高风险或无用 HTTP 模块
默认开启的很多 HTTP 模块既是功能冗余点，也是漏洞温床（如 rewrite、scgi、fastcgi、geo、map）。若仅提供静态文件服务或极简反代，可全部关闭：
- 关键禁用参数示例（一行写完，注意空格）：
--without-http_access_module --without-http_auth_basic_module --without-http_autoindex_module --without-http_geo_module --without-http_map_module --without-http_rewrite_module --without-http_scgi_module --without-http_fastcgi_module --without-http_uwsgi_module --without-http_memcached_module --without-http_split_clients_module --without-http_referer_module --without-http_secure_link_module - 若不需要 TLS，直接去掉 --with-http_ssl_module；若需 HTTPS，再单独加上，不默认启用
- 执行后检查 configure 输出：确认 checking for PCRE library ... found 和 checking for ZLIB library ... found，且无 module not found 或 warning
三、运行时加固：降权 + 隐藏 + 限制
编译完成只是开始，运行态配置决定实际安全水位：
- 编译时指定低权限用户：./configure ... --user=www-data --group=www-data（或新建专用用户 nginx:nginx）
- 配置文件中关闭版本号：server_tokens off; 放在 http 块内，防止泄露 Nginx 版本信息
- 限制连接与超时（防慢速攻击）：
worker_connections 1024;
client_header_timeout 15;
client_body_timeout 15;
send_timeout 15; - 禁用危险 HTTP 方法（如 PUT、DELETE）：
if ($request_method !~ ^(GET|HEAD|POST|OPTIONS)$) { return 405; }（放在 server 或 location 块中）
四、发布后验证：确认裁剪生效
别只信 configure 输出，要实测确认模块真的没编进去：
- 执行 /usr/local/nginx/sbin/nginx -V 2>&1 | grep -o "without.*module"，应列出你禁用的模块名
- 用 /usr/local/nginx/sbin/nginx -t 测试配置语法，再 -s reload 生效
- 访问任意页面，用 curl -I 或浏览器 F12 查看响应头，确认没有 Server: nginx/1.24.0（只有 Server: nginx），且无意外模块暴露的 header（如 X-Powered-By）
- 尝试触发已禁用功能（如访问 /test.php 触发 fastcgi、发 PUT 请求），应返回 405 或 404，而非 502/500
