构建高安全、高性能Nginx防护体系需按请求生命周期分四层设防：路径级精准访问控制（只放行合法路径）、连接与速率双限流、协议与头部加固（强制HTTPS、限方法、还原真实IP）、响应头与日志审计，各层职责清晰、不重叠、可验证。
构建高安全、高性能的企业级 Nginx 防护体系，关键不是堆砌功能，而是按请求生命周期分层设防：每层职责清晰、不重叠、可验证，同时避免过度拦截影响真实业务流量。
路径与资源级精准访问控制
这是第一道过滤闸门，目标是“只放行已知合法路径”，而非封禁黑名单。所有非法请求应尽可能在最早环节被拦截，减少后端计算开销。
- 用正则精确匹配业务 API 路径，例如：location ~ ^/api/v1/(users|orders|products)$ { proxy_pass http://backend; }
- 主动拒绝调试类、管理类路径：location ~ ^/api/v1/(admin|debug|swagger|actuator|health) { return 403; }
- 禁止访问敏感文件后缀：location ~ \.(env|git|yml|log|bak|sql|htaccess)$ { return 404; }
- 显式阻断目录遍历和隐藏文件：location ~ /\.|/\.\. { return 403; }，并关闭目录索引：autoindex off;
连接与请求双维度限流
单一限流易被绕过：仅限速率挡不住慢速连接攻击，仅限连接数防不了高频短连接扫描。必须组合使用，并按路径差异化配置。
- 定义两个独立共享内存区：limit_conn_zone $binary_remote_addr zone=perip:10m; 和 limit_req_zone $binary_remote_addr zone=perip_req:10m rate=50r/s;
- 全局基础防护：limit_conn perip 30;（单 IP 最多 30 并发） + limit_req zone=perip_req burst=100 nodelay;
- 登录等敏感路径加严：location /auth/login { limit_req zone=perip_req burst=5 nodelay; }
- 静态资源路径可放宽速率但限制连接数，防止资源耗尽
协议与传输层加固
很多攻击利用协议松散、头伪造或方法滥用绕过防护。Nginx 应在网关层统一收口，不把责任推给后端。
- 强制 HTTPS 并禁用旧协议：if ($scheme = http) { return 301 https://$host$request_uri; }，配合 ssl_protocols TLSv1.2 TLSv1.3;
- 清理并标准化真实客户端 IP：map $http_x_forwarded_for $real_ip { "" $remote_addr; default $remote_addr; }，后续限流与日志均基于 $real_ip
- 严格限制 HTTP 方法：if ($request_method !~ ^(GET|HEAD|POST|PUT|DELETE|OPTIONS)$) { return 405; }
- 启用 HSTS：add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;
响应、日志与运维安全闭环
防护效果需可观测、可审计、可收敛。没有日志的防护等于没有防护，没有响应加固的防护存在信息泄露风险。
- 隐藏服务器版本：server_tokens off;；如需自定义，配合 headers-more 模块：more_set_headers 'Server: MyApp-Gateway';
- 结构化日志格式，包含真实 IP、请求路径、状态码、响应时间、User-Agent：log_format structured '...';
- 限制上传大小：client_max_body_size 10m;，并设置缓冲区：client_body_buffer_size 128k;
- 关键路径结合 Fail2ban 或自研脚本联动封禁，实现动态黑名单闭环
