Nginx防重放需分层实施：普通API用Nonce+时间戳+Redis校验；TLS 1.3 0-RTT须拦截非幂等方法并透传Early-Data；CSRF依赖后端一次性Token清除；Nginx仅前置拦截与透传，不生成凭证。
在 Nginx 中对 API 接口做防重放控制，不能靠单一配置解决，需结合时间戳校验、一次性凭证（Nonce）、请求标识透传和路径级拦截，形成分层防线。Nginx 本身不生成安全凭证，但可高效完成前置校验与标记传递，把关键决策留给后端。
普通 API 接口：Nonce + 时间戳 + Redis 校验
适用于登录、下单、支付等敏感接口。客户端每次请求必须携带两个头部：
- X-Request-Timestamp：秒级或毫秒级时间戳，服务端允许 ±5 分钟偏差
- X-Request-Nonce：UUID v4 或 16–32 位安全随机字符串，全局唯一且仅用一次
在对应 location 块中使用 access_by_lua_block（需 OpenResty）执行以下逻辑：
- 提取并验证时间戳是否超时（如超过 30 秒直接拒）
- 拼接 key（如
"nonce:" .. ngx.var.http_x_request_nonce），调用 Redis 执行SET key "1" EX 300 NX - 命令返回 nil 表示已存在，即重放请求，立即返回 403
TLS 1.3 的 0-RTT 请求专项拦截
0-RTT 天然可重放，Nginx 必须主动干预，不能交由后端兜底：
- 所有写操作路径（如
/api/v1/submit）单独定义location块 - 在该块内使用
limit_except GET HEAD { deny all; }，禁止 POST/PUT/DELETE 走 0-RTT - 添加
proxy_set_header Early-Data $ssl_early_data;，将标识透传给后端 - 若业务真需 0-RTT 写（极少见），后端必须叠加三要素：一次性 token + ≤5 秒时间窗 + 请求指纹（body hash + IP + UA）
CSRF 场景下的 Token 协同机制
Nginx 不生成 CSRF Token，但能强化传输与初筛：
- 前端必须把 Token 放在 X-CSRF-Token 请求头中（禁用 Cookie 或 URL 传）
- 配置
proxy_set_header X-CSRF-Token $http_x_csrf_token;确保完整透传 - 加基础拦截：
if ($http_x_csrf_token = "") { return 403; } - 后端收到后比对 session 绑定值，并立即销毁该 Token——这是防重放的关键动作
辅助加固项（降低攻击面）
这些不直接防重放，但能阻断常见绕过路径：
- 关闭版本暴露：
server_tokens off; - 限制高频请求：
limit_req_zone $binary_remote_addr zone=api:10m rate=10r/s;，并在 location 中启用 - 拒绝无必要方法：
limit_except GET HEAD { deny all; }可用于只读接口，减少攻击入口
