nginx配置中如何实现安全防护

说起Nginx安全配置，很多人知道要封IP、配SSL，但真正要防住DDoS、防止敏感文件泄露、避免信息泄露，其实有几套组合拳可以打。下面这些方法，是工程实践中比较常见且有效的策略。

1. 限制请求速率，防DDoS的第一道防线
   用limit_req_zone和limit_req配合，按客户端IP进行限速。比如每秒钟只允许1个请求，超出部分可以排队或直接返回503。这在业务层面能有效挡住恶意高频攻击。

   http {
       limit_req_zone $binary_remote_addr zone=mylimit:10m rate=1r/s;
       server {
           location / {
               limit_req zone=mylimit burst=5;
               ...
           }
       }
   }

2. 控制连接数，防止资源被耗尽
   谁也不想服务器的连接池被爬虫或攻击者占满。用limit_conn_zone和limit_conn限制每个IP的并发连接数，比如最多10个。配合限速，效果更佳。

   http {
       limit_conn_zone $binary_remote_addr zone=addr:10m;
       server {
           location / {
               limit_conn addr 10;
               ...
           }
       }
   }

3. 全站启用HTTPS，加密传输防篡改
   这个不用多说，HTTPS已成标配。配置SSL证书后，所有通信都会加密，中间人想截获或篡改数据基本没戏。

   server {
       listen 443 ssl;
       server_name example.com;
       ssl_certificate /path/to/certificate.pem;
       ssl_certificate_key /path/to/privatekey.pem;
       ...
   }

4. 隐藏Nginx版本，减少信息暴露
   很多自动扫描工具会抓取服务器响应头里的Nginx版本号，再针对已知漏洞进行攻击。关闭server_tokens后版本号就不显示了。再加一个X-Frame-Options防止页面被嵌入框架，避免点击劫持。

   http {
       server_tokens off;
       server {
           add_header X-Frame-Options "SAMEORIGIN";
           ...
       }
   }

5. 防火墙规则兜底，只开必要端口
   Nginx本身配得再安全，如果服务器默认开放了22、3306等端口，风险依然很大。用iptables或ufw只允许80和443等必要端口，其他全部拒绝。比如用sudo ufw allow 'Nginx Full'一步到位。

6. 禁止访问敏感文件和目录
   .htaccess、.git、.env这些文件一旦暴露，整个项目的配置甚至密钥都可能泄露。直接通过location拒绝所有以这些开头的请求。

   location ~ /\.ht {
       deny all;
   }
   location ~ /\.git {
       deny all;
   }

7. 添加安全响应头，加固浏览器端防护
   除了之前的X-Frame-Options，还推荐加上X-Content-Type-Options: nosniff（防止MIME类型嗅探）、X-XSS-Protection（启用浏览器XSS过滤）、以及Strict-Transport-Security（强制浏览器使用HTTPS访问）。这些头虽然简单，但对抵御常见Web攻击很有帮助。

   add_header X-Content-Type-Options "nosniff";
   add_header X-XSS-Protection "1; mode=block";
   add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

8. 自定义错误页面，避免泄露细节
   默认的404、500页面往往包含服务器路径、版本等信息。用error_page指定一个简单的静态页面，既美观又能隐藏内部结构。

   error_page 404 /404.html;
   location = /404.html {
       root /usr/share/nginx/html;
   }

9. 利用ACL做访问控制，只让该进来的进来
   如果是管理后台或API接口，只允许特定IP段访问，其他一律拒绝。使用allow和deny可以轻松实现白名单机制。

   location /admin {
       allow 192.168.1.0/24;
       deny all;
       ...
   }

这些配置组合在一起，Nginx的安全性就能提升一个档次。当然，安全是个持续过程，别忘了定期更新Nginx版本，关注官方安全公告，及时打补丁。