怎么在Nginx中配置WAF规则以拦截常见的SQL注入攻击-SQL-PHP中文网

应使用 ngx_waf 或 modsecurity 等成熟 waf 模块而非原生 if + 正则拦截 sql 注入，因后者无法读取 post 请求体、易误杀绕过、性能差；ngx_waf 编译后一行启用，内置编码归一化与规则更新能力，但最终需结合应用层预处理与最小权限加固。

怎么在nginx中配置waf规则以拦截常见的sql注入攻击

直接在 Nginx 原生配置里写 if + 正则拦截 SQL 注入，效果有限且容易误杀或被绕过；真正能落地、低维护、有规则更新能力的方案，是用成熟第三方 WAF 模块，比如 ngx_waf 或 ModSecurity。

为什么不用原生 if + $args 正则做主防线

原生 Nginx 的 if 指令在 location 外大量使用会引发重写逻辑混乱，且 $request_body 在标准模块中不可读——这意味着 POST 请求里的 SQL payload（如 {"q":"1' OR '1'='1"}）完全无法检测。常见错误现象包括：

if ($args ~* "union select") 对 UNION%20SELECT 或大小写混写（UnIoN）无效
用 .* 宽泛匹配（如 select.*from）导致 /api/select_user 被误拦
正则中未用 \b 边界符，把 user_id=123 里的 id 当成攻击词
高并发下频繁执行 PCRE 匹配，CPU 使用率异常升高

推荐方案：用 ngx_waf 模块零代码启用防护

ngx_waf 是 C 编写的轻量级模块，不依赖 Lua，编译进 Nginx 后只需一行配置即可开启默认规则集，自动覆盖 SQLi、XSS、目录遍历等 OWASP Top 10 攻击特征。实操建议如下：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

从 GitHub 获取最新 release（如 v2.5.0），按文档用 --add-module 重新编译 Nginx

在 http 或 server 块中添加：

waf on;<br>waf_rule_path /usr/local/nginx/conf/waf-rules/;

规则路径下默认含 sql_injection.rule，已预置 Unicode 编码解码、大小写归一化、空格/注释符归并等处理逻辑
拦截时返回 403 并记录日志到 error_log，字段含攻击类型、匹配规则 ID、原始 URI

如果必须用 Lua（OpenResty 环境）

当已有 OpenResty 且需细粒度控制时，可用 access_by_lua* 钩子，但要注意关键限制：

不要只检查 ngx.var.request_uri，必须同时解析 ngx.var.request_body（需开启 client_body_buffer_size 和 client_max_body_size）
避免在 access_by_lua 中做耗时操作（如 HTTP 请求、文件读取），否则阻塞 worker 进程

示例安全写法：

access_by_lua_block {<br>  local uri = ngx.var.request_uri<br>  local args = ngx.var.args<br>  local body = ngx.var.request_body or ""<br>  if uri:match("[Uu][Nn][Ii][Oo][Nn]%s+[Ss][Ee][Ll][Ee][Cc][Tt]")<br>     or args:match("'%s*[Aa][Nn][Dd]%s*'%d+%s*=%s*'%d+")<br>     or body:match("exec%s+xp_") then<br>    ngx.exit(403)<br>  end<br>}