最稳妥做法是用 map 预定义规则 + if 统一拦截：map 放 http 块顶层，设 default 0 和多条正则匹配黑名单；server 块开头用 if ($blocked_ua) { return 403; }；配合日志标记、限流及路径级加固，并上线前用 nginx -t 和 curl 验证。
在 Nginx 的 server 块中屏蔽恶意 User-Agent，最稳妥的做法不是直接在 server 块里写一堆 if ($http_user_agent ~* ...)，而是用 map 预定义规则 + if 统一拦截。这样既避免重复正则开销，又防止因位置不当导致规则失效或引发 502 错误。
必须把 map 放在 http 块顶层
map 指令只能出现在 http 块中，且需放在所有 server 块之前。它会在 Nginx 启动时编译正则，运行时仅查表，性能远高于每次请求都执行正则的 if。
- 添加如下配置（注意空格、换行和分号）：
default 0;
~* (sqlmap|nikto|gobuster|nuclei|acunetix) 1;
~* (python-requests|curl|wget|httpie|Go-http-client) 1;
~* (scanner|crawler|exploit|pentest|vuln|hack) 1;
~* (^$|^\s*$|^-$) 1;
}
-
~*表示大小写不敏感正则匹配 -
default 0是必需的兜底值，未匹配则为 0（放行） - 空 UA、纯空白、短横线等边缘情况必须显式覆盖，否则默认放行
在 server 块顶部用 if 触发拦截
进入具体站点的 server 块，在 location / 之前插入判断语句。位置很关键：太靠后可能被 try_files 或 proxy_pass 绕过；放在 server 开头能确保所有请求第一时间检查。
- 写法简洁明确：
return 403 "Access denied.";
}
- 返回带提示的 403，便于日志识别，又不暴露后端细节
- 不要把这条
if塞进某个location里——容易失效，也违背轻量前置原则 - 白名单（如允许 Sogou web spider）要单独加一行：
"Sogou web spider" 0;，且放在黑名单之后（map按顺序匹配，首个命中即终止）
配合日志与限流增强可观测性
单靠 UA 拦截不够，需留痕、限速、分路径加固，形成防御纵深。
- 在
log_format中加入拦截标记，例如：
log_format main '$remote_addr - $remote_user [$time_local] "$request" $status $body_bytes_sent "$http_referer" "$http_user_agent" $blocked_ua'; - 对高频触发拦截的 IP 加限流（需提前在
http块定义 zone）：
limit_req zone=ua_block burst=5 nodelay; - 若某 UA 集中扫
/admin或/wp-login.php，可用location ^~ /admin单独强化规则，不依赖全局 UA 判断
上线前务必验证三件事
改完配置不能直接 reload，必须走标准验证流程。
- 运行
nginx -t检查语法是否正确（空格、分号、括号缺一不可） - 用
curl -I -A "sqlmap"和curl -I -A "Mozilla/5.0"分别测试拦截与放行效果 - 确认 access 日志中
$blocked_ua字段有 0 或 1 输出，验证日志格式生效
