Nginx安全参数有哪些？

在网站运维与部署过程中，Nginx作为高性能的Web服务器和反向代理服务器，其安全配置直接关系到业务系统的稳定性与数据保密性。许多管理员在完成基础安装后，往往忽略了对默认参数的加固，导致服务器暴露在恶意扫描、暴力破解或资源耗尽等风险之下。

一、Nginx安全参数之请求头过滤

请求头是客户端与服务器交互的第一层数据，许多攻击如SQL注入、XSS或协议走私都伪装在异常Header中。通过Nginx安全参数限制请求头的大小与内容，能有效拦截畸形报文。

1、限制请求头缓冲区大小

默认的large_client_header_buffers参数为4个8k缓冲区，但攻击者可能发送超长Header耗尽内存。建议设置为4个16k或更小，同时调整client_header_buffer_size为4k。配置示例：large_client_header_buffers 4 16k; 这能防止头部溢出攻击。

2、禁止不安全的方法与敏感字段

通过if或map模块过滤包含恶意特征的Header，例如拒绝包含../或空字节的请求。同时使用proxy_hide_header隐藏上游返回的Server版本信息，避免泄露软件细节。还可以利用more_set_headers自定义安全的响应头，如X-Content-Type-Options。

二、Nginx安全参数之连接与速率控制

未受控的并发连接与请求速率是DDoS攻击的温床。合理设置连接限制参数，能平滑流量尖峰，保护后端服务。

1、限制单IP连接数

使用limit_conn_zone定义共享内存区域，例如limit_conn_zone $binary_remote_addr zone=addr:10m; 然后在server或location中设置limit_conn addr 10; 这表示单个IP最多同时建立10个连接。对于HTTP/2需注意连接复用特性，可适当放宽。

2、限制请求速率与并发

利用limit_req_zone定义令牌桶，如limit_req_zone $binary_remote_addr zone=req:10m rate=5r/s; 再通过limit_req zone=req burst=10 nodelay; 控制突发流量。此Nginx安全参数能有效抵御CC攻击，防止应用层资源被单个来源耗尽。

3、超时设置防止慢速攻击

设置client_body_timeout和client_header_timeout为10秒，send_timeout为15秒。这些参数强制空闲连接快速断开，避免慢速loris攻击占用大量worker进程。

三、Nginx安全参数之SSL与加密通信

在HTTPS部署中，错误的SSL参数可能导致协议降级或私钥泄露。强化加密套件与协议版本是Nginx安全参数中不可忽视的一环。

1、禁用旧版协议与弱套件

在server块中设置ssl_protocols TLSv1.2 TLSv1.3; 并配置ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256'; 同时启用ssl_prefer_server_ciphers on; 这能防止BEAST等攻击。

2、启用OCSP Stapling与会话缓存

配置ssl_stapling on; ssl_stapling_verify on; 减轻证书吊销查询的负担。同时设置ssl_session_cache shared:SSL:10m; 和ssl_session_timeout 10m; 提高握手性能，减少计算开销。

3、安全响应头补充

通过add_header Strict-Transport-Security max-age=31536000; 强制浏览器使用HTTPS。并设置add_header X-Frame-Options SAMEORIGIN; 防止点击劫持。这些Nginx安全参数虽非加密核心，但能显著提升整体防护水平。

四、Nginx安全参数之访问控制与审计

精细的访问控制能限制敏感路径的暴露，而完整的日志记录则有助于事后溯源。这两类Nginx安全参数协同工作，构建可追溯的安全闭环。

1、基于IP与地理位置的限制

使用allow和deny指令定义白名单。例如allow 192.168.1.0/24; deny all; 可保护管理后台。还可以结合geo模块，根据$remote_addr变量动态设置访问策略，阻断来自高风险区域的请求。

2、限制请求方法

通过if ($request_method !~ ^(GET|HEAD|POST)$) { return 405; } 来拒绝TRACE、DELETE等危险方法。这能防止跨站追踪攻击，减少WebDAV漏洞面。

3、日志记录与错误处理

配置access_log logs/access.log main; 并包含$request_body和$http_user_agent字段。同时设置error_page 403 /custom_403.html; 自定义错误页，避免暴露服务器路径信息。定期分析日志中的异常模式，可提前发现扫描行为。

综上所述，Nginx安全参数并非孤立指令，而是需要根据业务场景组合调优的系统工程。从请求头过滤到连接速率控制，从SSL协议强化到访问审计，每一类参数都承担着不同的防护职责。管理员应当定期审查配置，结合安全扫描工具验证效果，并关注官方文档更新。记住，没有绝对安全的配置，只有持续改进的防御策略。将上述核心参数落地后，你的Nginx将具备更强的抗攻击能力，为上层应用提供稳固的运行基础。