Nginx可通过location块中allow/deny指令实现静态资源IP访问控制，需精准定位路径、按序配置规则（deny→allow→allow all）、加固安全（关闭目录浏览、屏蔽隐藏文件等），并严格验证配置。
直接在 Nginx 的 location 块中使用 allow 和 deny 指令，配合路径匹配与明确的执行顺序，就能实现对静态资源的 IP 级访问控制。关键不是“能不能”，而是规则写在哪、怎么写、是否兜底——稍有疏漏就会全放行或全拦截。
精准定位静态资源路径
先用 location 明确圈定要管控的目录或文件类型，避免影响动态接口：
- 对整个静态目录（如
/static/）：用前缀匹配location ^~ /static/ { ... }，性能好且不触发正则 - 对特定后缀文件（如 JS/CSS/图片）：用大小写不敏感匹配
location ~* \.(js|css|png|jpg|woff2)$ { ... } - 务必配置
root或alias指向真实文件路径，确保请求能落到本地文件系统，而不是被代理走
按序配置 allow/deny 规则
IP 控制逻辑严格依赖指令顺序，匹配即终止，所以必须从具体到宽泛排列：
- 先写
deny需屏蔽的单个 IP 或网段，例如deny 192.168.5.100;或deny 203.0.113.0/28; - 再写
allow明确放行的可信 IP，例如allow 203.0.113.42; - 最后必须加
allow all;——这是白名单模式的“兜底”，缺了它所有未显式允许的请求都会被拒绝
加固静态资源基础安全
仅靠 IP 控制不够，还需堵住常见攻击面：
- 关闭目录浏览：
autoindex off;，防止/static/直接列出文件 - 屏蔽隐藏文件：
location ~ /\. { deny all; }，拦截/.git/config等敏感路径 - 限制 HTTP 方法：
limit_except GET HEAD { deny all; }，禁止对静态资源发起 POST/PUT - 禁用符号链接：
disable_symlinks on;（尤其在alias路径下），防路径穿越
验证与维护建议
改完配置别急着 reload，多走两步更稳妥：
- 运行
nginx -t确认语法无误，“syntax is ok” 和 “test is successful” 都出现才算过关 - 用
curl -I http://your-domain/static/test.png从被禁 IP 和允许 IP 分别测试，检查返回码是否为 403 或 200 - 规则较多时，推荐抽离为独立文件（如
/etc/nginx/conf.d/ip-whitelist.conf），再用include引入，方便复用和审计
