Nginx中禁止访问指定后缀文件需用~*正则匹配并锚定$，返回444最彻底；须覆盖zip|rar|7z|exe等高危后缀；上传目录需^~/uploads/前缀+if或子location双重防护；隐藏文件用location ~ /. { deny all; }，且置于所有location /之前。

在 Nginx 中，用 location 禁止访问指定后缀文件，核心是用正则匹配路径末尾扩展名，并返回拒绝响应。关键不在“能不能写”，而在规则是否精准、位置是否靠前、是否防绕过。

用 ~* 正则匹配后缀并统一拦截

推荐写法：

• 使用 ~*（不区分大小写正则），结尾加 $ 锚定，确保只匹配完整后缀，避免误伤 /script.zip?v=1 这类带参数的合法请求
• 返回 444 最彻底——Nginx 特有状态码，直接断连，不发任何响应头，比 403 或 404 更隐蔽
• 常见高风险后缀建议一次覆盖：zip|rar|7z|exe|msi|bat|cmd|scr|jar|sh|py|php|sql|bak|log|env|yml|yaml

示例配置（放在 server 块内，且置于所有 location / 和 proxy_pass 规则之后）：

location ~* \.(zip|rar|7z|exe|msi|bat|cmd|scr|jar|sh|py|php|sql|bak|log|env|yml|yaml)$ {
  return 444;
}

针对上传目录单独加固

全局拦截对 /uploads/ 这类可写目录可能失效——尤其当它被 proxy_pass 转发时，正则 location 可能不触发。必须在该目录专用块中嵌套防护：

• 用 ^~ /uploads/ 前缀匹配，确保优先级最高
• 内部再用 if + 正则检查请求 URI 后缀，或直接用子 location 拦截
• 同时禁用脚本执行（如 .php）和高危二进制下载（如 .exe），双保险

示例：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

location ^~/uploads/ {
  if ($request_uri ~* \.(zip|exe|bat|sh|py)$) {
    return 444;
  }
  location ~* \.php$ { return 444; }
}

屏蔽点开头的隐藏文件与敏感配置

像 .env、.git/config、.htaccess 这类文件，共性是以 . 开头。一条规则就能覆盖大部分：

• location ~ /\. { deny all; } —— 注意 \. 是转义点号，否则 . 在正则里是通配符
• 这条必须放在所有通用 location / 之前，否则会被提前匹配而失效
• 搭配 access_log off; 和 log_not_found off;，防止日志被扫描刷爆

对极敏感文件（如根目录下的 .env），再加一层精确匹配更稳妥：

location = /.env { return 404; }

补充：按需启用 Referer 白名单（可选）

如果业务确实要提供部分 ZIP/PDF 下载（比如官网资料包），但要防钓鱼站盗链诱导用户点击，可在对应后缀规则里加白名单：

• 用 valid_referers 限定来源域名，支持 none（直接输入 URL）和 blocked（隐私插件清空 Referer），保障真实用户可用
• 仅适用于明确需要放行的后缀，不能替代全局拦截

示例（仅对 .zip 开放可信来源）：

location ~* \.zip$ {
  valid_referers none blocked yourdomain.com *.yourdomain.com;
  if ($invalid_referer) { return 444; }
}