Nginx可通过location正则匹配.zip、.exe等高风险后缀并return 444直接关闭连接，实现源头阻断；需置于通用规则之后，上传目录内须嵌套防护，配合Referer白名单可选增强可信下载控制。
直接屏蔽特定后缀（如 .zip、.exe）的下载，是防范钓鱼攻击中“诱导用户下载恶意文件”的关键一环。Nginx 本身不执行文件内容分析，但可通过精准匹配请求路径后缀并主动拒绝响应，从源头切断下载通道。
用 location 正则匹配后缀并返回强拒绝响应
在对应 server 块中添加如下配置（建议放在所有通用 location / 和 proxy_pass 规则之后，避免被高优先级规则覆盖）：
- 使用 ~* 实现不区分大小写的正则匹配，末尾加 $ 确保完整匹配后缀，防止误判
script.zip?v=1类带参数路径 - 推荐返回 444（Nginx 特有状态码，直接关闭连接，比 403/404 更隐蔽，不暴露服务存在）
- 常见高风险后缀应包含：
zip|rar|7z|exe|msi|bat|cmd|scr|jar|sh|py|php|sql|bak|log|env|yml|yaml
示例配置：
location ~* \.(zip|rar|7z|exe|msi|bat|cmd|scr|jar|sh|py|php|sql|bak|log|env|yml|yaml)$ {return 444;
}
特别注意上传目录的执行与下载双重防护
钓鱼常利用上传功能植入伪装文件（如 invoice.exe 或 receipt.zip），若这些文件存放在可访问路径（如 /uploads/），仅靠全局后缀拦截可能不足——尤其当该目录被 proxy_pass 转发到后端应用时，正则 location 可能失效。
- 应在上传目录的专用 location 块内嵌套拦截逻辑，确保优先执行
- 同时禁止脚本执行（防木马）和二进制文件下载（防钓鱼包）
例如：
location ^~/uploads/ {if ($request_uri ~* \.(zip|rar|7z|exe|msi|bat|cmd|scr|jar|sh|py)$) {
return 444;
}
# 同时禁用 PHP 执行
location ~* \.php$ {
return 444;
}
# 允许静态资源正常访问（如图片、PDF）
# ...
}
配合 Referer 校验增强可信下载控制（可选进阶）
若业务确需提供部分 ZIP/PDF 下载（如官网资料包），但要防止被钓鱼站盗链诱导用户点击，可对这类后缀启用 Referer 白名单：
- 只允许来自自身域名或指定管理后台的请求访问
- 仍保留
none（直接输入 URL）和blocked（隐私插件清空 Referer）以保障真实用户可用性
示例（放在对应 location 块内）：
location ~* \.zip$ {valid_referers none blocked yourdomain.com *.yourdomain.com;
if ($invalid_referer) {
return 444;
}
}
验证与避坑要点
- 修改后必须执行
nginx -t && nginx -s reload，否则不生效 - 测试时用
curl -I http://yoursite.com/test.zip检查返回状态码是否为 444（无响应体） - 避免将规则写在
server块顶层或if中直接匹配$request_uri——Nginx 官方明确不推荐，易出错且不可靠 - 不依赖客户端 User-Agent 或 IP 黑名单来拦截文件下载，它们易伪造；后缀+路径匹配才是最稳定、最底层的防线
