Nginx API安全分层控制需按请求流顺序构建四层防线：路径筛选（精准匹配合法/封禁路径）、连接与速率双限流（防爆破与扫描）、协议与头部加固（强制HTTPS、限方法、还原真实IP）、响应头与日志审计（注入安全头、扩展日志接入SIEM）。
Nginx 实现 API 安全分层控制，核心不是堆功能，而是按请求流顺序逐层设防：路径先筛、连接再限、身份后验、行为兜底。每一层都承担明确职责，互不替代，也不重叠。
路径级访问控制：从源头切断非法入口
只放行业务必需的接口路径，其余一律拒绝或拦截。用 location 正则精准匹配，避免宽泛通配：
- 显式放行合法路径：
location ~ ^/api/v1/(users|orders|products|status)$ { proxy_pass http://backend; } - 主动封禁高危路径（调试、管理、文档类）：
location ~ ^/api/v1/(admin|debug|config|health|swagger|actuator) { return 403; } - 阻止源码与敏感文件暴露：
location ~ \.(git|env|log|yml|yaml|ini|bak|sh)$ { return 404; }
连接与速率双限流：兼顾防爆破与防扫描
单一限流易被绕过，必须组合使用连接数限制（防慢速攻击）和请求速率限制（防高频扫描）：
- 定义两个独立共享内存区：
limit_conn_zone $binary_remote_addr zone=perip:10m;limit_req_zone $binary_remote_addr zone=perip_req:10m rate=50r/s; - 在 location 中同时启用：
limit_conn perip 30;limit_req zone=perip_req burst=100 nodelay; - 对登录等敏感接口单独加严：
location /auth/login { limit_req zone=perip_req burst=5 nodelay; }
协议与头部加固：堵住常见绕过通道
攻击者常通过伪造头、降级协议、滥用方法突破基础防护，需在网关统一拦截：
- 强制 HTTPS 并禁用弱协议：
if ($scheme = http) { return 301 https://$host$request_uri; }ssl_protocols TLSv1.3; - 清理并还原真实客户端 IP（尤其经 CDN 或 LB 后）：
set_real_ip_from 10.0.0.0/8;real_ip_header X-Forwarded-For; - 限制 HTTP 方法，仅允许可信动词：
if ($request_method !~ ^(GET|HEAD|POST|PUT|DELETE|OPTIONS|PATCH)$ ) { return 405; }
响应头与日志审计：让防护可验证、可追溯
安全策略若不可观测，就等于没生效。需主动注入安全头，并扩展日志字段：
- 添加关键安全响应头：
add_header X-Content-Type-Options "nosniff" always;add_header X-Frame-Options "DENY" always;add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always; - 扩展日志格式，记录真实 IP、限流状态、响应时间等：
log_format main '$remote_addr - $real_ip [$time_local] "$request" $status $body_bytes_sent "$http_referer" "$http_user_agent" $request_time $limit_rate $limit_conn_status'; - 将日志接入 SIEM 或告警系统，对连续 403/404、burst 超限等行为自动研判
不复杂但容易忽略
