Nginx通过在PHP专用location块中结合正则匹配$request_uri和$args、启用try_files校验、禁用cgi.fix_pathinfo、限制Host与HTTP方法等方式，在FastCGI转发前拦截非法动态请求，实现零执行防护。
FastCGI 请求本身不是 Nginx 直接处理的协议，而是由 Nginx 转发给 PHP-FPM 等后端进程。所谓“拦截非法动态请求”，实际是指在 Nginx 配置中，在 转发到 FastCGI 之前，基于 URI、参数、请求头等特征，用正则匹配提前识别并阻断高危请求——不进 PHP，不触发解析，真正实现“零执行”防护。
只在 PHP 处理 location 块内做规则，避免误伤静态资源
必须把拦截逻辑限定在明确处理 PHP 的 location 块中，例如：
- 推荐写法：location ~ \.php$ { ... }
- 更安全写法（防绕过）：location ~ ^/.*\.php(/|$) { ... } —— 拦截 /a.php/xxx 或 /shell.php?cmd=1 这类路径遍历+伪目录结构
- 禁止写法：location / { if (...) { return 403; } } —— 会误拦 JS/CSS/图片等所有请求，且 if 在 location 外性能差、行为不可控
重点拦截三类典型非法动态请求模式
针对常见攻击入口，用 $request_uri 和 $args 组合正则精准识别：
- 路径穿越+PHP 绕过：if ($request_uri ~ "\.php[^/]*\.\./") { return 403; }（如 a.php/../etc/passwd）
- 空字节截断攻击：if ($request_uri ~ "%00") { return 403; }（如 image.jpg%00.php）
- 恶意参数注入：if ($args ~ "(cmd|exec|system|passthru|file_get_contents)=|(\.\.|%2e%2e)/") { return 403; }
配合 FastCGI 特性强化拦截可靠性
仅靠正则不够，需叠加 Nginx 与 PHP 协同机制：
- 在 PHP location 块中加 try_files $fastcgi_script_name =404; —— 确保只执行真实存在的 .php 文件，杜绝 /nonexist.php/xxx 被 FPM 错误解析
- 禁用危险 FastCGI 参数：fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name; 不要用 $request_filename，后者可能被污染
- 确保 php.ini 中 cgi.fix_pathinfo=0 —— 关闭 FPM 自动路径补全，这是 %00 和 .php/xxx 类攻击的根本成因
拒绝非法 Host + 异常方法，堵住 FastCGI 入口上游
很多 FastCGI 攻击依赖伪造上下文，从源头收紧：
- 用 default_server 拦截非法 Host：server { listen 80 default_server; return 403; }，防止 IP 直连或 Host: evil.com 触发 PHP 解析
- 限制 HTTP 方法：if ($request_method !~ ^(GET|HEAD|POST|PUT|DELETE)$) { return 405; }，阻止 OPTIONS、TRACE 等非常规方法带参打 PHP
- 屏蔽含危险头部的请求：map $http_user_agent $is_scanner { "~*sqlmap|nikto|gobuster" 1; }；if ($is_scanner) { return 403; }
