Nginx 状态码分析怎么处理恶意爬虫引发的 4xx 流量攻击-Nginx-PHP中文网

最高效方式是结合$status与$upstream_status实时分析并拦截：通过定制日志、shell快速定位异常IP/路径，再用map+limit_req主动压制高频试探行为。

nginx 状态码分析怎么处理恶意爬虫引发的 4xx 流量攻击

直接用 $status 结合日志分析和实时拦截，是识别并应对恶意爬虫引发的 4xx 流量攻击最高效的方式。这类攻击往往不是为了正常访问，而是试探路径、爆破接口或绕过鉴权，表现为大量 400/401/403/404 集中出现在特定路径、IP 或时间窗口。

聚焦 4xx 的真实来源，别被 error_page 干扰
Nginx 的 $status 记录的是最终返回给客户端的状态码，但很多 4xx 实际来自后端（比如 API 返回 400），却被 Nginx 的 error_page 重写为 200 或跳转到错误页——这会让监控失真。必须配合 $upstream_status 才能看清真相：

在关键 location（如 /api/）中单独配置 access_log，启用 proxy_intercept_errors off

日志格式里同时记录 $status 和 $upstream_status，例如：

log_format api_4xx '$time_local\t$remote_addr\t$request_method\t$uri\t$upstream_status\t$http_user_agent';

从日志快速定位攻击特征
不用等报表，几条 shell 命令就能揪出异常：

查看最近 10 分钟内触发最多 4xx 的 IP：

awk -v start=$(date -d '10 minutes ago' '+%d/%b/%Y:%H:%M') '$4 ~ /\[.*start/ && $9 ~ /^4[0-9]{2}$/ {print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -nr | head -10

统计高频 4xx 类型及对应路径：
```
awk '$9 ~ /^4[0-9]{2}$/ {print $9, $7}' /var/log/nginx/access.log | sort | uniq -c | sort -nr | head -15
```
若发现 404 高频出现在 /wp-admin/、/.git/config 等路径，基本可判定为扫描行为；若 400 集中在 /api/v1/login，需检查是否参数构造异常（如空 JSON、非法字段）。

Nginx Hosting
通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

用 map + limit_req 主动压制，不止于日志分析
光看不行，得实时干预：

对已知高危路径（如 /login, /api/auth）启用独立限流：

limit_req_zone $binary_remote_addr zone=auth_limit:10m rate=3r/m;
location = /login {
    limit_req zone=auth_limit burst=2 nodelay;
    proxy_pass http://backend;
}

用 map 标记可疑行为，再结合 if 拦截：

map $upstream_status $is_api_error {
    ~^4[0-9]{2}$ 1;
    default 0;
}
map $request_uri $is_sensitive_path {
    ~^/api/v1/(login|reset|admin) 1;
    default 0;
}
# 在 server 块中：
if ($is_api_error = 1 && $is_sensitive_path = 1) {
    return 444;
}

区分对待：4xx 不等于全是恶意，但集中突增就是信号