• 参考：
  1. https://zhuanlan.zhihu.com/p/336489487


文章目录

  • # 禁用不需要的 Nginx 模块
  • # 不展示 server tokens
  • # 控制资源和限制
  • # 禁用所有不需要的 HTTP 方法
  • # 监控访问日志和错误日志
  • # 合理配置响应头
  • X-Frame-Options
  • Strict-Transport-Security
  • CSP
  • # 配置 SSL 和 cipher suites
  • # 定期更新服务器


# 禁用不需要的 Nginx 模块

自动安装的 Nginx 会内置很多模块，并不是所有的模块都需要，对于非必须的模块可以禁用，如 autoindex module ，下面展示如何禁用

./configure --without-http_autoindex_module
make
make install
# 不展示 server tokens

默认情况下，Nginx 的 server tokens 会在错误页面显示 Nginx 的版本号，这可能会导致信息泄露，未经授权的用户可能会了解你使用的nginx版本。

应该在 nginx.conf 的http模块设置 server_tokens off 来禁用

http {
	server_tokens off;
}

nginx做token认证 nginx配置token_nginx

nginx做token认证 nginx配置token_nginx做token认证_02

# 控制资源和限制

为了防止对 Nginx 进行潜在的 DOS 攻击，可以为所有客户端设置缓冲区大小限制，配置如下：

设置

含义

client_body_buffer_size

指定客户端请求主体缓冲区的大小。

默认值为8k或16k，但建议将此值设置为低至1k：client_body_buffer_size 1k

client_header_buffer_size

为客户端请求标头指定标头缓冲区大小。

设置为 1k 足以应付大多数请求。

client_max_body_size

为客户端请求指定可接受的最大正文大小。

设置为 1k 应该足够了，但是如果通过 POST方法接收文件上传，则需要增加它。

large_client_header_buffers

指定用于读取大型客户端请求标头的缓冲区的最大数量和大小。将最大缓冲区数设置为 2，每个缓冲区的最大大小为 1k。该指令将接受 2 kB 数据， large_client_header_buffers 2 1k

# 禁用所有不需要的 HTTP 方法

禁用所有不需要的 HTTP 方法，下面设置意思是只允许 GET、HEAD、POST 方法，过滤掉 DELETE 和 TRACE 等方法。

location / {
limit_except GET HEAD POST { deny all; }
}

另一种方法是在 server 块 设置，不过这样是全局设置的，要注意评估影响

if ($request_method !~ ^(GET|HEAD|POST)$ ) {
    return 444; }
# 监控访问日志和错误日志

持续监控和管理 Nginx 的错误日志，就能更好的了解对 web 服务器的请求，注意到任何遇到的错误，有助于发现任何攻击尝试，并确定您可以执行哪些操作来优化服务器性能。

可以使用日志管理工具（例如 logrotate ）来旋转和压缩旧日志并释放磁盘空间。 同样，ngx_http_stub_status_module 模块提供对基本状态信息的访问。

nginx做token认证 nginx配置token_安全_03

# 合理配置响应头

为了进一步加强 Nginx web 的性能，可以添加几个不同的响应头，推荐

X-Frame-Options

可以使用 X-Frame-Options HTTP 响应头指示是否应允许浏览器在 <frame> 或 <iframe> 中呈现页面。 这样可以防止点击劫持攻击。

配置文件中添加：

add_header X-Frame-Options "SAMEORIGIN";
Strict-Transport-Security

HTTP Strict Transport Security，简称为 HSTS。它允许一个 HTTPS 网站，要求浏览器总是通过 HTTPS 来访问它，同时会拒绝来自 HTTP 的请求，操作如下：

add_header Strict-Transport-Security "max-age=31536000; includeSubdomains; preload";
CSP

Content Security Policy (CSP) 保护你的网站避免被使用如 XSS，SQL注入等手段进行攻击，操作如下：

add_header Content-Security-Policy "default-src 'self' http: https: data: blob: 'unsafe-inline'" always;
# 配置 SSL 和 cipher suites

Nginx 默认允许使用不安全的旧 SSL 协议，ssl_protocols TLSv1 TLSv1.1 TLSv1.2，建议做如下修改：

ssl_protocols TLSv1.2 TLSv1.3;

此外要指定 cipher suites ，可以确保在 TLSv1 握手时，使用服务端的配置项，以增强安全性。

ssl_prefer_server_ciphers on
# 定期更新服务器

旧版的 Nginx 总会存在各种各样的漏洞，所以最好更新到最新版。

漏洞可以去各大 CVE 网站去查询，Nginx 最新版则去官网查看。