Shell / Bash大前端
Nginx 与 Web 安全加固
Nginx 的安全加固方案，涵盖 server_tokens 配置隐藏版本信息、ModSecurity WAF 集成防护注入攻击、CSP 策略防止 XSS 等内容。详细对比了各项安全措施的效果与性能影响，提供了完整的 nginx.conf 实战配置示例及 HTTPS 设置要点。最后通过 10 道面试题解析和五步实施步骤，帮助开发者建立系统化的 Web 安全防护体系，平衡安全性与用户体验。
Nginx 的安全加固方案，涵盖 server_tokens 配置隐藏版本信息、ModSecurity WAF 集成防护注入攻击、CSP 策略防止 XSS 等内容。详细对比了各项安全措施的效果与性能影响，提供了完整的 nginx.conf 实战配置示例及 HTTPS 设置要点。最后通过 10 道面试题解析和五步实施步骤，帮助开发者建立系统化的 Web 安全防护体系，平衡安全性与用户体验。
在互联网环境中，服务器面临着各种安全威胁。Nginx 作为前端守护神，必须通过配置加固才能抵御恶意攻击。
server_tokens 是 Nginx 的第一个安全防线，它控制是否在响应头中显示 Nginx 版本信息。
# 关闭版本信息暴露
server_tokens off;
# 或者完全隐藏
server_tokens "";
# 在特定 location 中关闭
location /api/ {
server_tokens off;
}
工作原理：
ModSecurity 是一个开源的 Web 应用防火墙 (WAF)，被誉为 "Web 应用的保镖"。
# ModSecurity 基本配置
modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/main.conf;
modsecurity_rules '
SecRuleEngine DetectionOnly
SecRequestBodyAccess On
SecResponseBodyAccess Off
';
# 在特定 location 启用
location / {
modsecurity on;
modsecurity_rules '
SecRule ARGS "@rx (?i)union[\s\n\r]+select" \
"id:1001,phase:2,block,msg:\'SQL Injection Attack\'"
';
}
核心功能：
CSP 是防止 XSS 攻击的重要手段，通过限制页面可以加载的资源来源。
# 基础 CSP 配置
add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:";
# 更严格的安全策略
add_header Content-Security-Policy "default-src 'none'; script-src 'self'; connect-src 'self'; img-src 'self' data:; style-src 'self'; font-src 'self'; object-src 'none';";
# 针对 API 接口的特殊配置
location /api/ {
add_header Content-Security-Policy "default-src 'none'; connect-src 'self';";
}
| 安全措施 | 配置指令 | 安全效果 | 性能影响 | 易用性 |
|---|---|---|---|---|
| server_tokens | server_tokens off | 隐藏版本信息 | 几乎无影响 | 简单 |
| ModSecurity | modsecurity on | 防护多种攻击 | 中等 (增加处理时间) | 复杂 |
| CSP | add_header Content-Security-Policy | 防 XSS 等前端攻击 | 无 | 中等 |
| HSTS | add_header Strict-Transport-Security | 强制 HTTPS 访问 | 无 | 简单 |
| X-Frame-Options | add_header X-Frame-Options | 防点击劫持 | 无 | 简单 |
# 主配置文件 nginx.conf
http {
# 基础安全设置
server_tokens off;
# 安全头部设置
add_header X-Frame-Options "SAMEORIGIN" always;
add_header X-Content-Type-Options "nosniff" always;
add_header Referrer-Policy "no-referrer-when-downgrade" always;
add_header X-XSS-Protection "1; mode=block" always;
# HSTS 设置
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
# CSP 设置
add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; font-src 'self' data:; connect-src 'self'; frame-ancestors 'self';" always;
# ModSecurity 配置
modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/modsecurity.conf;
modsecurity_rules_file /etc/nginx/modsec/owasp-crs/crs-setup.conf;
modsecurity_rules_file /etc/nginx/modsec/owasp-crs/rules/;
server {
listen 80;
server_name example.com;
# 重定向 HTTP 到 HTTPS
return 301 https://$server_name$request_uri;
}
server {
listen 443 ssl http2;
server_name example.com;
# SSL 配置
ssl_certificate /path/to/certificate.crt;
ssl_certificate_key /path/to/private.key;
# 更严格的 SSL 安全配置
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384;
ssl_prefer_server_ciphers on;
location / {
# 静态文件安全
location ~* \.(jpg|jpeg|png|gif|ico|css|js)$ {
expires 1y;
add_header Cache-Control "public, immutable";
}
# 禁止执行脚本
location ~* \.(php|pl|py|jsp|asp|sh|cgi)$ {
deny all;
return 404;
}
}
# API 接口特殊安全配置
location /api/ {
# 限制请求大小
client_max_body_size 1M;
# 限制请求频率
limit_req zone=api burst=10 nodelay;
# 特殊 CSP 策略
add_header Content-Security-Policy "default-src 'none'; script-src 'none'; connect-src 'self';" always;
}
}
}
答案： server_tokens 是 Nginx 的一个指令，用于控制是否在 HTTP 响应头中显示 Nginx 版本信息。关闭它的原因是避免暴露服务器版本，减少被针对性攻击的风险。这属于安全领域的 "最小信息暴露原则"。
答案： ModSecurity 是一个开源的 Web 应用防火墙 (WAF)，能够实时监控、记录和阻止可疑的 HTTP 请求。在 Nginx 中集成需要安装 ModSecurity 模块，然后在配置文件中启用 modsecurity 指令，并指定规则文件路径。
答案： CSP (Content Security Policy) 用于防止 XSS 攻击，通过限制页面可以加载的资源来源。有效配置需要根据实际应用需求，合理设置 default-src、script-src、style-src 等指令，既要保证功能正常，又要最大化安全。
答案： server_tokens 基本无性能影响；ModSecurity 会增加一定的 CPU 开销，因为需要解析和匹配请求；CSP 由浏览器执行，对服务器性能无直接影响。总体而言，安全收益远大于性能损失。
答案： 可以通过 ModSecurity 的日志功能记录攻击事件，配置告警系统，使用 ELK 等工具进行日志分析，及时发现异常行为并采取相应措施。
答案： 使用强加密套件、禁用弱协议版本 (TLS 1.0/1.1)、配置 HSTS 强制 HTTPS 访问、使用 OCSP Stapling 提高性能等。
答案： 可以使用在线安全检测工具 (如 securityheaders.com)、进行渗透测试、监控安全日志、定期更新安全规则等方式评估。
答案： 在安全性和用户体验之间找到平衡点，比如适度放宽 CSP 策略避免功能受限、合理配置请求限制避免误伤正常用户等。
答案： 使用配置管理工具、建立安全规则更新流程、定期审查和更新安全策略、建立回滚机制等。
答案： API 安全、微服务架构下的安全、容器化环境的安全、零信任架构、AI 驱动的新型攻击等都是现代 Web 安全面临的新挑战。
本文深入探讨了 Nginx 的安全加固技术，从基础的 server_tokens 配置到复杂的 ModSecurity 集成，再到 CSP 策略设置。网络安全是个持续的过程，需要我们不断学习和适应新的威胁。最重要的是建立安全意识，形成安全习惯。记住，最好的防御就是保持警惕和持续更新！
微信公众号「极客日志」，在微信中扫描左侧二维码关注。展示文案：极客日志 zeeklog
将字符串编码和解码为其 Base64 格式表示形式即可。 在线工具，Base64 字符串编码/解码在线工具，online
将字符串、文件或图像转换为其 Base64 表示形式。 在线工具，Base64 文件转换器在线工具，online
将 Markdown（GFM）转为 HTML 片段，浏览器内 marked 解析；与 HTML转Markdown 互为补充。 在线工具，Markdown转HTML在线工具，online
将 HTML 片段转为 GitHub Flavored Markdown，支持标题、列表、链接、代码块与表格等；浏览器内处理，可链接预填。 在线工具，HTML转Markdown在线工具，online
通过删除不必要的空白来缩小和压缩JSON。 在线工具，JSON 压缩在线工具，online
将JSON字符串修饰为友好的可读格式。 在线工具，JSON美化和格式化在线工具，online