必须用map指令在http块顶层定义匹配逻辑，再在location内用if($blocked_ua)判断并return 403；因if在server/location中会重置变量、干扰proxy_pass、重复执行正则且性能差，而map预编译正则、O(1)查找、零运行开销。
直接封禁恶意 User-Agent 是最轻量、见效最快的 Nginx 层面反爬手段之一，但用错方式（比如滥用 if）会导致配置失效、性能下降甚至服务异常。核心结论：**必须用 map 指令在 http 块顶层定义匹配逻辑，再在 location 内用 if ($blocked_ua) 判断并 return 403 —— 这是唯一兼顾安全、可维护与性能的方案。**
为什么不能直接在 server 或 location 里写 if($http_user_agent ~* "...")
Nginx 的 if 指令在 location 外（如 server 块顶层）有已知副作用：它会重置内部变量、干扰 rewrite 流程、导致 proxy_pass 行为异常，且正则匹配在每次请求时重复执行，开销不可忽略。
-
if在server块中匹配$http_user_agent时，若后续有try_files或proxy_pass，可能跳过预期逻辑，返回 404 或透传恶意请求 - 多个
if并列判断（比如同时检查 UA + 请求方法）会叠加嵌套开销，Nginx 官方明确标注“ifis evil” - 正则未加
~*（忽略大小写）或漏掉锚点（如^、$），容易误放或误杀：例如curl匹配到curl-loader，但python-requests可能被写成Python/3.9而漏掉
map 指令怎么写才真正生效
map 必须位于 http 块最外层（即所有 server 之前），它在 Nginx 启动时预编译正则，运行时仅做 O(1) 查找，零额外开销。
Zynq Linux Hardware Debug
下载
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
- 每个匹配项用
~*开头，后面跟正则表达式，不要加引号；default 0是必需的兜底值 - 常见扫描器要覆盖全：包括
sqlmap、nmap、masscan、nikto、ZmEu、python-requests（注意末尾.*$）、Go-http-client - 白名单优先级高于黑名单：如果允许
Sogou web spider，就把它单独写一行并映射为0，放在黑名单规则之后（map按顺序匹配，首个命中即终止） - 空
User-Agent必须显式处理：~* ^$或~* ^[[:space:]]*$，否则默认走default放行
http {
map $http_user_agent $blocked_ua {
default 0;
~* ^$ 1;
~* (sqlmap|nikto|nmap|masscan|ZmEu|Go-http-client) 1;
~* python-requests/.*$ 1;
~* Sogou web spider 0; # 白名单，放行
}
<pre class='brush:php;toolbar:false;'>server {
location / {
if ($blocked_ua) {
return 403 "Access denied.";
}
try_files $uri $uri/ =404;
}
}}
如何验证和避免误伤正常流量
上线前不验证，等于给业务埋雷。真实日志里常出现：某合作方调用 SDK 的 UA 里含 okhttp，某监控系统用 curl 探活，结果全被 403 —— 这类问题必须前置拦截。
- 用
curl -H "User-Agent: sqlmap/1.0" http://your.site/和curl -H "User-Agent: Mozilla/5.0..." http://your.site/对比测试响应码 - 开启条件日志：
log_format blocked '[$time_local] $remote_addr "$request" $status $blocked_ua'; access_log /var/log/nginx/blocked.log blocked if=$blocked_ua;，先观察 24 小时再切return 403 - 主流搜索引擎 UA（
Googlebot、Baiduspider、bingbot）绝不能写进黑名单，否则 SEO 彻底崩坏；若需限制频率，改用limit_req而非 UA 封禁 - 移动端 WebView 或小程序环境 UA 可能含
MicroMessenger、QQ等关键词，若业务依赖微信内嵌，需白名单豁免
真正难的不是写对那几行配置，而是持续从 access log 里捞出新出现的恶意 UA 模式，并在不影响合法调用的前提下更新 map 规则 —— 这个过程没法自动化，得靠人盯日志、做归类、小步迭代。
