验证Nginx源码编译安全加固项需三步闭环：一、编译前确认configure命令显式禁用autoindex、SSI、SCGI/Uwsgi/mail及debug模块；二、编译后用nginx -V提取真实参数，核对--without-http_autoindex_module等是否生效；三、运行时通过nginx -T、curl -I等交叉验证模块未加载及响应头脱敏。
源码安装 Nginx 时，验证编译参数是否包含必需的安全加固项，关键在于“编译前确认配置、编译后反向核对、运行时交叉验证”三步闭环。不能只看 configure 命令写了什么，必须确保最终二进制实际生效。
一、编译前：检查 configure 命令是否显式禁用高危模块
执行 configure 时，应明确排除以下默认启用但存在风险的模块：
-
autoindex：目录列表功能，生产环境必须禁用 → 确保命令中不含
--with-http_autoindex_module，也不含--with-http_autoindex_module=dynamic -
SSI（Server Side Includes）：服务端包含解析，易被用于注入 → 排除
--with-http_ssi_module -
SCGI / uwsgi / mail：非 Web HTTP 场景模块，无业务需求就关闭 → 不出现
--with-http_scgi_module、--with-http_uwsgi_module、--with-mail等参数 -
debug 模块：
--with-debug必须缺失，否则会暴露详细错误堆栈
二、编译后：用 nginx -V 反向提取真实编译参数
安装完成后，直接运行：
nginx -V 2>&1 | grep -oE '--(with|without)-[a-zA-Z0-9_]+'该命令会列出所有实际参与编译的开关。重点核对：
- 是否出现
--without-http_autoindex_module（而非没写，默认是启用） - 是否出现
--without-http_ssi_module - 是否未出现
--with-debug或--with-http_stub_status_module（后者虽非高危，但暴露内部指标，非监控刚需建议禁用） - 是否启用 TLS 强制策略相关模块：
--with-http_ssl_module和--with-http_v2_module应存在
三、运行时：验证模块是否真未加载
即使 configure 写了 --without-xxx，也可能因依赖被隐式拉入。最可靠方式是启动后检查：
同时检查模块列表：
nginx -V 2>&1 | grep -A5 "configure arguments"再结合：
curl -I http://localhost | grep Server确认响应头中无版本号（需配合 server_tokens off 配置），这是编译阶段无法控制、但必须在配置层补全的一环。
四、特别注意 rewrite 模块的隐形风险
CVE-2026-42945（Rift 漏洞）影响所有 0.6.27–1.30.0 版本，且 ngx_http_rewrite_module 默认始终启用，无法通过 configure 禁用。因此：
- 仅靠编译参数无法规避该漏洞，必须升级到 1.30.1+ 或 1.31.0+
- 若暂无法升级，需人工审计所有 rewrite 规则，确保不满足“替换串含 ? + 使用未命名捕获组 + 后续紧跟 if/set/rewrite”三条件组合
- 可通过
nginx -T | grep -A3 "rewrite.*?"快速筛查潜在危险规则
