Nginx动态IP黑名单通过map指令+原子化脚本更新实现：1.用map精确匹配IP并return 403；2.脚本生成blacklist.map临时文件后mv原子替换，再nginx -t && -s reload；3.支持分类map、封禁日志、白名单覆盖及keyval/Redis扩展。
在 Nginx 中实现 IP 黑名单的动态封禁，核心是“配置可热更新的黑名单文件 + 外部脚本自动维护该文件 + 通过 include 指令加载”，避免每次封禁都 reload Nginx。下面分三部分说明关键做法：
1. 使用 map 指令实现高效 IP 匹配
比 if + deny 更轻量、更安全（避免正则回溯和 location 匹配冲突）。在 http 块中定义：
map $remote_addr $blocked {
default 0;
include /etc/nginx/conf.d/blacklist.map;
}
然后在 server 或 location 中拦截：
if ($blocked) {
return 403;
}
⚠️注意：map 只支持精确匹配（不支持 CIDR 或正则），所以黑名单文件内容应为：
"192.168.1.100" 1; "203.0.113.42" 1; "2001:db8::1" 1;
2. 自动化脚本维护黑名单文件
用 Python 或 Bash 脚本定期读取日志、威胁情报或 WAF 告警，生成新的 blacklist.map，再触发 Nginx 重载（或用 nginx -s reload）。推荐流程：
- 脚本先将新规则写入临时文件（如 blacklist.map.tmp）
- 用 mv -f 原子替换旧文件（避免 Nginx 读到不完整内容）
- 执行 nginx -t && nginx -s reload（reload 不中断连接）
- 可加简单去重和 TTL 过期逻辑（例如记录时间戳，脚本启动时清理 24 小时前的条目）
3. 增强实用性的小技巧
让封禁更可控、可审计：
- 按来源分类：把恶意扫描、爆破、CC 攻击的 IP 分到不同 map 文件（如 scan.map、brute.map），用多个 map 叠加判断
- 记录封禁日志：在 return 403 前加 log_format 变量，输出被封 IP 和时间到独立 access_log
- 白名单优先级：在 map 上方加一行 include /etc/nginx/conf.d/whitelist.map;，其中写 "10.0.0.5" 0;，覆盖黑名单效果
- 不依赖 reload 的替代方案：用 nginx-plus 的 keyval 模块，或开源模块 ngx_http_geoip2_module 配合 Redis 实时查表（适合超大规模）
整个机制不复杂但容易忽略原子性和 map 语法细节。只要保证 blacklist.map 格式正确、替换动作原子、reload 前做配置检查，就能稳定支撑每小时数千次的动态封禁操作。
