应配置Nginx默认server块拦截非法子域名，显式声明所有合法子域名并禁用通配符，配合DNS审计与业务层白名单，防止子域名接管攻击。
要拦截所有未经授权的子域名访问请求，核心是让 Nginx 主动拒绝非白名单子域名的请求，而不是默认放行或交由后端处理。这能有效防止子域名接管（Subdomain Takeover）——即攻击者注册已失效 CNAME 指向的第三方服务（如 GitHub Pages、Heroku、S3 等），从而托管恶意内容并冒充你的品牌。
明确默认 server 块拦截非法子域名
Nginx 会将未匹配任何 server_name 的请求，交给该端口下第一个 server 块处理。利用这一点，可专门配置一个“兜底 server”，统一返回 444（关闭连接）或 403（禁止访问）：
- 在
http块末尾或独立配置文件中，添加一个监听 80/443 的最小化 server 块 - 不设置
server_name，或设为_（占位符），确保它匹配所有未显式声明的域名 - 直接终止请求，避免日志污染或后端误响应
示例配置：
server {listen 80 default_server;
listen [::]:80 default_server;
server_name _;
return 444; # 静默关闭 TCP 连接，不发响应体
}
只允许预定义的子域名显式生效
所有合法子域名必须在配置中**显式声明**，且每个 server 块只绑定确定的域名，禁用通配符（*.example.com）——因为通配符本身无法阻止新子域名被解析，反而可能掩盖接管风险：
- 主站：
server_name example.com www.example.com; - API 服务：
server_name api.example.com; - 管理后台：
server_name admin.example.com; - 避免写成
server_name *.example.com;或~^([a-z0-9-]+)\.example\.com$
这样，当攻击者把 test.example.com 解析到你的 IP，Nginx 因无对应 server_name 匹配，就会落入上一步的 default_server，被立即拦截。
配合 DNS 和业务层做最终确认
仅靠 Nginx 配置不能替代 DNS 层治理，但可作为关键防线：
- 定期审计 DNS 记录，删除所有指向你服务器 IP 但已下线的子域名 CNAME/A 记录
- 对长期不用的子域名（如
staging、dev、old），从 DNS 中彻底移除，而非仅停用服务 - 若业务需动态子域名（如租户 SaaS），必须搭配严格的子域名注册审核机制 + 后端白名单校验，Nginx 仅做基础流量分发
增强防护：添加 Host 头校验（可选）
对高敏感场景，可在合法 server 块内增加 Host 头验证，双重保险：
if ($host !~ ^(example\.com|www\.example\.com|api\.example\.com)$) {return 403;
}
注意：if 在 location 中慎用，建议放在 server 块顶层；优先推荐用 default_server 方式，更简洁可靠。
