如何在Nginx中配置安全策略

在Nginx中配置安全策略，这件事说难不难，但想做到滴水不漏，确实需要花点心思。下面这十个方向，是经过大量实践验证的硬核配置，值得逐一落地。

1. 使用HTTPS

先别急着想别的，HTTPS是今天所有安全策略的基石。没有它，后面的配置就像在敞开的大门上装锁——中间人攻击分分钟就能把数据扒光。

server {
    listen 443 ssl;
    server_name example.com;
    ssl_certificate /path/to/fullchain.pem;
    ssl_certificate_key /path/to/privkey.pem;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;
    ssl_prefer_server_ciphers on;
    location / {
        root /var/www/html;
        index index.html index.htm;
    }
}

2. 限制访问

有些敏感路径（比如后台管理界面），只对特定IP开放才是正解。用allow和deny指令，把大门关紧，只留一条专属通道。

location /admin {
    allow 192.168.1.1;
    deny all;
}

3. 防止DDoS攻击

DDoS攻击的本质就是流量轰炸，Nginx自带的limit_req模块可以帮你限流——就像给水管加个阀门，不让洪水一次性冲进来。

http {
    limit_req_zone $binary_remote_addr zone=one:10m rate=1r/s;
    server {
        location / {
            limit_req zone=one burst=5 nodelay;
            root /var/www/html;
            index index.html index.htm;
        }
    }
}

4. 防止SQL注入和XSS攻击

这里需要强调一下：ngx_http_security_module模块确实能提供一层防护，但更推荐在应用层（比如WAF或代码层面）做深度过滤。不过，在Nginx层先挡一道，总是好的。

server {
    location / {
        security;
        root /var/www/html;
        index index.html index.htm;
    }
}

5. 配置防火墙规则

Nginx本身不负责防火墙，但服务器层面的防火墙规则必须跟上。只开放80和443端口，其他端口一律关闭，这是最基础的安全习惯。

sudo ufw allow 443/tcp
sudo ufw allow 80/tcp
sudo ufw enable

6. 使用安全的HTTP头

这几个HTTP头就像是给浏览器贴的“安全标签”：X-Content-Type-Options防止MIME类型嗅探，X-Frame-Options防止点击劫持，Strict-Transport-Security强制HTTPS。配置起来很简单，但效果立竿见影。

server {
    add_header X-Content-Type-Options nosniff;
    add_header X-Frame-Options SAMEORIGIN;
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
    location / {
        root /var/www/html;
        index index.html index.htm;
    }
}

7. 定期更新Nginx

安全漏洞层出不穷，定期更新Nginx版本是最直接、最有效的修复手段。不要偷懒，把更新纳入日常运维流程。

sudo apt-get update
sudo apt-get upgrade nginx

8. 使用访问日志和错误日志

日志是安全审计的“黑匣子”。一旦出了事，翻日志是最快定位问题的方法。访问日志和错误日志都要打开，并且保留足够长的周期。

server {
    access_log /var/log/nginx/access.log;
    error_log /var/log/nginx/error.log;
    location / {
        root /var/www/html;
        index index.html index.htm;
    }
}

9. 配置文件权限

Nginx主配置文件权限设成644，属主设为root:root，这是为了防止非授权用户修改配置。别小看这一步，很多安全事件就是从配置文件的疏漏开始的。

sudo chown root:root /etc/nginx/nginx.conf
sudo chmod 644 /etc/nginx/nginx.conf

10. 使用SELinux或AppArmor

如果系统支持，开启SELinux或AppArmor可以给Nginx再加一层“沙箱”。即使Nginx被攻破，攻击者也无法轻易访问系统其他部分——这层防护在关键业务场景中非常推荐。

sudo setenforce 1
# 启用SELinux
sudo aa-enforce /etc/apparmor.d/usr.sbin.nginx
# 启用AppArmor

以上十个配置点，覆盖了传输加密、访问控制、限流防攻击、安全头、日志审计、系统加固等关键维度。根据你的实际业务场景和环境，选择性地组合使用，就能把Nginx的安全水平拉到相当高的水平。