Nginx路径转发本身无内置安全机制，安全性依赖主动配置：路径过滤（如^~/api/、拦截../）、可信头校验（set_real_ip_from、Host白名单）、协议约束（X-Forwarded-Proto、proxy_ssl_verify）、方法限制及最小权限路由隔离。
Nginx 请求路径转发本身不自带“安全机制”，它默认是中立且透明的代理工具。真正的安全性，取决于你是否主动配置了访问控制、头信息校验、路径过滤和协议约束等关键环节。忽略这些，转发就只是把风险从客户端直接引向后端。
防止路径遍历与越权访问
攻击者可能构造恶意路径（如 /api/../../etc/passwd）试探后端服务漏洞。Nginx 默认不会自动拦截这类请求，需手动加固：
- 使用 location 前缀匹配 + ^~ 修饰符，避免正则误匹配或路径逃逸。例如：
location ^~/api/ { ... }确保只匹配以/api/开头的路径，不被更宽泛规则覆盖 - 禁用路径规范化绕过：添加 proxy_redirect off; 和 underscores_in_headers on;（若后端依赖下划线字段），同时配合 rewrite ^/(.*)\.\./ / break; 主动拦截含
../的请求（慎用，需测试兼容性） - 对敏感路径做显式拒绝：
location ~* \.(htaccess|env|log|conf)$ { return 403; }
可信来源与头部信息防护
后端常依赖 X-Forwarded-For 或 Host 做权限判断，但这些头可被客户端伪造。Nginx 必须只信任来自可信链路的值：
- 仅允许指定 IP 段设置真实 IP：
set_real_ip_from 10.0.0.0/8;+real_ip_header X-Forwarded-For;，再用$remote_addr替代不可信头 - 强制重写 Host 头为白名单域名：
proxy_set_header Host $host;后加if ($host !~ ^(api\.example\.com|admin\.example\.com)$) { return 444; }（444 是 Nginx 特有“关闭连接”状态码） - 清除危险头字段：
proxy_hide_header X-Powered-By;、proxy_hide_header Server;，避免泄露后端技术栈
协议与传输层约束
转发不应降低原始连接的安全等级：
- 确保 HTTPS 请求转发时携带协议标识：
proxy_set_header X-Forwarded-Proto $scheme;，防止后端因误判 HTTP 而降级响应（如跳转到 http://） - 对内部后端启用 SSL 验证（如需）：
proxy_ssl_verify on;+proxy_ssl_trusted_certificate /path/to/ca.crt;，避免中间人劫持内网通信 - 限制请求方法：
if ($request_method !~ ^(GET|HEAD|POST|PUT|DELETE|OPTIONS)$ ) { return 405; }，拒绝非法动词
最小权限路由隔离
不同路径应对应明确的后端职责，避免“一配到底”的粗放转发：
- 用 upstream 块定义独立后端组，每个 group 绑定专属健康检查与超时策略，而非共用一个 proxy_pass 地址
- 路径前缀严格区分作用域：
location /admin/与location /public/分别指向不同 upstream，并在各自块内设置auth_request或 IP 白名单 - 禁止跨域通配：
location / { proxy_pass http://backend; }这类兜底配置极易暴露管理接口，应改为显式声明每个有效路径
