Nginx网关集成ModSecurity v3需通过ModSecurity-nginx模块桥接，经源码编译安装libmodsecurity与connector，配置load_module、modsecurity_rules_file启用规则，并结合OWASP CRS实现WAF防护与日志调优。
在Nginx网关层集成ModSecurity，是构建轻量、高效Web应用防火墙（WAF）的主流方案。关键在于：Nginx本身不原生支持ModSecurity规则引擎，必须通过ModSecurity-nginx连接模块桥接；且推荐使用ModSecurity v3（libmodsecurity），它比v2更稳定、线程安全、易于与现代Nginx集成。
编译安装支持ModSecurity v3的Nginx
官方预编译包通常不含ModSecurity模块，需源码编译。核心步骤如下：
- 安装依赖：确保系统有
gcc、make、curl、libpcre3-dev、libssl-dev、zlib1g-dev（Ubuntu/Debian）或对应开发包（CentOS/RHEL） - 下载并编译libmodsecurity（v3.0+）：从GitHub release页获取源码，按官方README执行
./build.sh && sudo make install - 下载并编译ModSecurity-nginx connector：克隆connector仓库，在Nginx源码目录中执行
./configure --add-dynamic-module=/path/to/ModSecurity-nginx，再make && sudo make install - 验证模块：运行
nginx -V 2>&1 | grep -o with-http-modsecurity-module，有输出即表示加载成功
Nginx配置启用ModSecurity引擎
在nginx.conf的http块中全局加载模块，并为具体server启用防护：
- 添加动态模块加载语句：
load_module modules/ngx_http_modsecurity_module.so;（路径需与make install实际位置一致） - 在
http块内定义ModSecurity主配置，例如：modsecurity on;<br>modsecurity_rules_file /etc/nginx/modsec/main.conf;
- 在目标
server块中启用并指定规则集路径：location / {<br> modsecurity on;<br> modsecurity_rules_file /etc/nginx/modsec/site-rules.conf;<br>} -
注意：Nginx 1.19.4+才完整支持
modsecurity_rules_file热加载；旧版本需用modsecurity_rules内联规则，不利于维护
部署OWASP Core Rule Set（CRS）规则集
CRS是业界最广泛使用的开源WAF规则集，与ModSecurity v3兼容性好：
- 从CRS官网下载最新稳定版（如v4.x），解压至
/etc/nginx/modsec/crs/ - 复制
crs-setup.conf.example为crs-setup.conf，按需调整SecRuleEngine（建议初启设为DetectionOnly）、异常评分阈值等 - 在
main.conf中按顺序引入规则：Include /etc/nginx/modsec/crs/crs-setup.conf<br>Include /etc/nginx/modsec/crs/rules/*.conf
- 启动前务必测试配置：
sudo nginx -t；若报错常见于路径错误、缺少SecAction或语法不兼容（v3规则需以SecRule开头，非v2的SecRule REQUEST_URI简写）
日志分析与策略调优要点
ModSecurity默认将拦截日志写入error_log，但生产环境应单独归集并结构化处理：
- 在
main.conf中配置审计日志：SecAuditLog /var/log/nginx/modsec_audit.log<br>SecAuditLogType Serial<br>SecAuditLogRelevantStatus "^(?:5|4)[0-9][0-9]$"
- 使用
modsec-auditlog-parser或ELK栈解析JSON格式审计日志，定位误报（False Positive）高频规则ID（如920100、932100） - 针对业务接口定制白名单：例如放行含
/api/v2/webhook的POST请求头字段，用SecRuleRemoveById临时禁用规则，或用SecRuleUpdateTargetById排除特定参数 - 定期更新CRS和libmodsecurity补丁版本，关注CRS release notes中的规则变更说明
