Nginx无法原生识别Tor流量，需结合Tor出口IP列表与geo或Lua模块实现动态拦截：定时更新官方列表，用geo指令高效匹配并403拦截，或用lua-nginx-module调用API实时校验，兼顾性能与灵活性。
直接在 Nginx 层实时判断访客是否来自 Tor 网络，目前没有原生支持的模块，但可通过「日志预处理 + 外部查询 + 动态拦截」组合方式实现。核心思路是：不依赖客户端标识（易伪造），而是基于 IP 地址查 Tor 出口节点列表，再通过 Nginx 的 ngx_http_geo_module 或 lua-nginx-module 实现低延迟响应。
获取并维护 Tor 出口 IP 列表
Tor 官方每小时更新一次出口节点 IP 清单，地址为：
https://check.torproject.org/torbulkexitlist
该列表纯文本，每行一个 IPv4 地址，无注释、无格式，适合自动化加载。
建议用定时任务（如 cron）每 30 分钟拉取一次，并写入本地文件或内存数据库：
- 用 wget 下载后去重、过滤空行，保存为
/etc/nginx/tor-exit-ips.txt - 配合
nginx -t && nginx -s reload可触发配置重载（适用于 geo 方式） - 更高效的做法是用 Lua 脚本在运行时读取该文件，避免 reload 开销
使用 geo 指令构建 Tor IP 映射
Nginx 自带的 geo 指令可将 IP 映射为变量值，性能极高，适合高频匹配：
geo $is_tor_ip {
default 0;
include /etc/nginx/tor-exit-ips.txt; # 文件内容格式：192.168.1.1 1;
}注意：tor-exit-ips.txt 中每行需写成 IP 1; 格式（例如 185.220.101.12 1;），否则语法报错。
之后可在 location 中使用：
-
if ($is_tor_ip) { return 403; }—— 简单拦截 - 或结合
log_format记录 Tor 请求：$is_tor_ip写入 access log，便于后续分析
用 Lua 实现动态查询与灵活响应
若需更高灵活性（比如调用第三方 API 做实时验证、加缓存、限频），推荐使用 lua-nginx-module：
- 安装 OpenResty 或编译含 lua 支持的 Nginx
- 在
http块中定义共享字典缓存查询结果：lua_shared_dict tor_cache 10m; - 在
access_by_lua_block中发起 HTTP 请求到可信服务（如https://api.ipapi.is/tor/xxx.xxx.xxx.xxx或自建轻量校验接口） - 命中缓存则跳过请求；未命中则调用 API，成功返回
200 {"is_tor":true}即拦截
优势在于不依赖静态列表，可应对 Tor 新出口快速上线场景；缺点是引入毫秒级延迟，需控制超时（建议 timeout=500ms）和错误降级（默认放行或默认拦截）。
补充建议与注意事项
仅靠 Tor IP 拦截有局限性，需结合其他信号综合判断：
- Tor 出口 IP 也可能被正常用户代理复用（如企业网关），不宜直接封禁全部流量，建议先打标记录、限制频率或增加验证码
- 部分 Tor 流量走桥接（Bridge），不会出现在出口列表中，无法覆盖
- 避免使用
if在非 location 块中做逻辑，Nginx 的 if 有作用域陷阱，优先用access_by_lua_block或 map+geo - 所有外部 API 调用必须设超时、重试上限和 fallback 行为，防止因网络问题拖慢整个请求链路
