Nginx性能调优与安全配置规范需分层落地：一、基础安全加固（隐藏版本号、限制HTTP方法、禁用TRACE/TRACK、控制请求体与头大小）；二、HTTPS与TLS强化（80强制跳转、启用TLSv1.2+、HSTS头）；三、核心性能调优（worker_processes auto、worker_cpu_affinity auto、worker_connections 10240、epoll事件模型）；四、静态资源优化（Gzip压缩、缓存头、sendfile零拷贝）；五、可观测性支撑（开启stub_status、精简日志格式、错误日志收敛至warn）。
要输出一套完整、可落地的 Nginx 性能调优与安全配置规范，关键不是堆砌参数，而是按生产环境真实需求分层组织：先保障稳定与安全底线，再释放性能潜力，最后辅以可观测性支撑。以下为结构清晰、无冗余、直击重点的规范要点。
一、基础安全加固（必配项）
这是上线前不可跳过的红线配置，防止信息泄露与基础攻击：
-
隐藏版本号：在
http块中添加server_tokens off;，避免响应头暴露Server: nginx/1.24.0等信息，降低被针对性漏洞利用风险。 -
限制 HTTP 方法：在
server或location块中禁止非必要方法，例如：if ($request_method !~ ^(GET|HEAD|POST|PUT|DELETE|OPTIONS|PATCH)$) { return 405; } -
禁用 TRACE/TRACK：显式拦截高危方法，防止跨站追踪（XST）：
if ($request_method ~ ^(TRACE|TRACK)$) { return 405; } -
控制请求体与头大小：
client_max_body_size 10m;（防大文件上传耗尽内存）large_client_header_buffers 4 16k;（防 Slowloris 类 DoS 攻击）
二、HTTPS 与 TLS 安全强化（生产强制）
所有对外服务必须走 HTTPS，并采用现代加密策略：
-
80 端口强制跳转：在监听 80 的
server块中写return 301 https://$host$request_uri; -
TLS 版本与密钥交换：启用 TLSv1.2+，禁用不安全协议与算法：
ssl_protocols TLSv1.2 TLSv1.3;ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384; -
HSTS 头增强信任：
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
三、核心性能调优（适配硬件）
目标是让 Nginx 吃满 CPU、用好内存、扛住连接，而非盲目调高数值：
-
进程与 CPU 绑定：
worker_processes auto;worker_cpu_affinity auto;
（自动匹配物理核心数并绑定，避免上下文切换和缓存失效） -
单进程连接能力：在
events块中设置：worker_connections 10240;use epoll;（Linux 必选）worker_rlimit_nofile 65535;（需同步调高系统ulimit -n） -
连接复用优化：
keepalive_timeout 65;keepalive_requests 1000;tcp_nodelay on;tcp_nopush on;
四、静态资源与传输效率（用户体验层）
直接影响首屏时间与带宽成本：
-
Gzip 压缩（兼容性优先）：
gzip on;gzip_vary on;gzip_types text/plain text/css application/json application/javascript text/xml application/xml application/xml+rss text/javascript; -
静态资源缓存头：
location ~* \.(js|css|png|jpg|jpeg|gif|ico|svg|woff2?)$ {<br> expires 1y;<br> add_header Cache-Control "public, immutable";<br>} -
零拷贝加速：
sendfile on;sendfile_max_chunk 512k;
五、稳定性与可观测性（运维支撑）
没有监控的调优等于盲调：
-
开启状态页（需编译含
--with-http_stub_status_module）：location /nginx_status {<br> stub_status;<br> allow 127.0.0.1;<br> deny all;<br>} -
日志格式精简（减少 I/O 开销）：
log_format main '$remote_addr - $remote_user [$time_local] "$request" '<br> '$status $body_bytes_sent "$http_referer" '<br> '"$http_user_agent" $request_time $upstream_response_time';
-
错误日志级别收敛：
error_log /var/log/nginx/error.log warn;（生产环境避免info或debug）
