直接拦截并重定向恶意参数请求，核心是用if判断参数特征后立即return 301/302跳转至静态销毁页；推荐优先使用$arg_*变量精准匹配单个参数，必要时再正则扫描$args全局。
直接拦截并重定向恶意参数请求，核心思路是：用 if 判断请求参数特征，匹配成功后立即用 return 301 或 302 跳转到一个静态销毁页（如 /destroy.html），避免后续处理。关键在于精准识别、快速响应、不触发 rewrite 循环。
识别恶意参数的常用方式
恶意特征常出现在查询字符串（$args）或特定参数值中，例如：
-
id=../etc/passwd（路径遍历） -
q=<script></script>（XSS 片段） -
cmd=cat%20/etc/shadow（命令注入编码） -
url=http://evil.com（开放重定向嫌疑）
推荐优先使用 $arg_* 变量精确匹配单个参数，更安全高效；必要时再用正则扫描 $args 全局。
配置示例：按参数名+值精准拦截
在 server 或 location / 块内添加：
if ($arg_id ~* "(?:\.\./|etc/passwd|shadow)") {
return 301 /destroy.html;
}
if ($arg_q ~* "<script|javascript:|onerror=") {
return 302 /destroy.html;
}
if ($arg_cmd ~* "(cat|ls|curl|wget).*") {
return 301 /destroy.html;
}说明：
• $arg_id 直接取 ?id=xxx 的值，避免误伤其他参数
• ~* 表示大小写不敏感正则匹配
• return 301 用于确认性恶意行为（搜索引擎会降权该入口）；302 更适合试探性或需留痕场景
• /destroy.html 需提前放在 root 目录下，内容可为纯静态提示页（无 JS、无外链）
补充防护：全局参数特征扫描
当恶意模式分散或参数名不固定时，用 $args 全局检测：
if ($args ~* "(%2e%2e|\.\/\.\.|etc/passwd|\.php\?|base64_decode)") {
return 301 /destroy.html;
}注意：
• URL 编码字符（如 %2e 代表 .）需显式写出
• 正则中避免过度贪婪匹配，防止误判正常参数
• 不建议在 if 中嵌套复杂逻辑，Nginx 的 if 是“伪条件”，仅支持有限操作
销毁页与安全加固要点
销毁页本身必须安全独立：
- 存放路径与主站资源隔离（如
/var/www/destroy/destroy.html），不继承主站 PHP 或动态规则 - 响应头强制关闭缓存：
add_header Cache-Control "no-store, no-cache, must-revalidate"; - 页面 HTML 纯静态，不含任何用户输入回显、JS 执行或表单提交
- 配合日志记录（可选）：
access_log /var/log/nginx/malicious.log main if=$malicious_flag;（需先用map定义标志）
最后务必测试：curl -v "http://your.site/?id=../etc/passwd" → 应返回 301 + Location: /destroy.html
确保未触发 500 错误或无限重定向循环。
