本文目录一览：
- 1、nginx拦截url关键字
- 2、nginx如何拦截请求
- 3、nginx代理常用配置
- 4、nginx怎么防止ddos攻击cc攻击等流量攻击
- 5、Content-Security-Policy（CSP）漏洞，解决方案
nginx拦截url关键字
nginx负责转发请求时，有时候需要中存在的关键字的请求，如
url :
2_9f89c84a559f573636a47ff8daed0d33作为url中的动态参数拼接部分
$request_uri 获取请求url。
nginx 配置应如下
location /hmget {
if ($request_uri ~* "/2_9f89c84a559f573636a47ff8daed0d33") {
return 200 "error";
}
default_type 'text/plain';
content_by_lua_file /opt/openresty/lua/hmget.lua;
}
200为返回的状态，根据需求可以返回402,404等http状态码
error为后面跟着的描述信息，也可以是其他。
nginx如何拦截请求
可以设置拦截一些类型的文件的访问
可以通过配置文件拦截js文件的访问
但默认情况下，不会拦截任何文件的请求
nginx代理常用配置
1. 最简反向代理配置
在http节点下，使用upstream配置服务地址，使用server的location配置代理映射。
upstream my_server {
server 10.0.0.2:8080;
keepalive 2000;
}
server {
listen 80;
server_name 10.0.0.1;
client_max_body_size 1024M;
location /my/ {
proxy_pass ;
proxy_set_header Host $host:$server_port;
}
}
通过该配置，访问nginx地址的请求会被转发到my_server服务地址。
需要注意的是，如果按照如下配置：
upstream my_server {
server 10.0.0.2:8080;
keepalive 2000;
}
server {
listen 80;
server_name 10.0.0.1;
client_max_body_size 1024M;
location /my/ {
proxy_pass ;
proxy_set_header Host $host:$server_port;
}
}
那么，访问nginx地址的请求会被转发到my_server服务地址。这是因为proxy_pass参数中如果不包含url的路径，则会将location的pattern识别的路径作为绝对路径。
2. 重定向报文代理
即便配置了nginx代理，当服务返回重定向报文时（http code为301或302），会将重定向的目标url地址放入http response报文的header的location字段内。用户浏览器收到重定向报文时，会解析出该字段并作跳转。此时新的请求报文将直接发送给服务地址，而非nginx地址。为了能让nginx拦截此类请求，必须修改重定向报文的location信息。
location /my/ {
proxy_pass ;
proxy_set_header Host $host:$server_port;
proxy_redirect / /my/;
}
使用proxy_redirect可以修改重定向报文的location字段，例子中会将所有的根路径下的url代理到nginx的/my/路径下返回给用户。比如服务返回的重定向报文的location原始值为/login，那么经过nginx代理后，用户收到的报文的location字段为/my/login。此时，浏览器将会跳转到nginx的/my/login地址进行访问。
需要注意的是，服务返回的重定向报文的location字段有时会填写绝对路径（包含服务的ip/域名和端口），有时候会填写相对路径，此时需要根据实际情况进行甄别。
location /my/ {
proxy_pass ;
proxy_set_header Host $host:$server_port;
proxy_redirect ;
}
上述配置便是将my_server服务的根路径下的所有路径代理到nginx地址的/my/路径下。当nginx配置只有一个server时，前缀可以省略。
3. 报文数据替换
使用nginx代理最牛（dan）逼（sui）的情况就是http响应报文内写死了服务地址或web绝对路径。写死服务地址的情况比较少见，但也偶尔存在。最棘手的是写死了web绝对路径，尤其是绝对路径都没有公共前缀。举个例子来说：
一般的web页面会包含如下类似路径：
/public：用于静态页面资源，如js脚本/public/js，样式表/public/css，图片/public/img等。
/static：和/public类似。
/api：用于后台服务API接口。
/login：用于登录验证。
其他。
对于这样的服务，可能的代理配置如下：
location /my/ {
proxy_pass ;
proxy_set_header Host $host:$server_port;
proxy_redirect / /my/;
}
location /login/ {
proxy_pass ;
proxy_set_header Host $host:$server_port;
}
location /public/ {
proxy_pass ;
proxy_set_header Host $host:$server_port;
}
location /api/ {
proxy_pass ;
proxy_set_header Host $host:$server_port;
}
由于web页面或静态资源内写死了类似的绝对路径，那么对于用户来说，通过页面内的链接进行跳转时，都会请求到nginx服务对应的路径上。一旦存在另一个服务也包含类似的路径，也需要nginx进行代理，那么矛盾就出现了：访问nginx的同一个路径下的请求究竟转发给哪一个服务？
要解决这个问题，必须在用户收到报文前，将报文的数据中包含的绝对路径都添加统一的前缀，如/my/public，/my/api，/my/login，这样nginx代理配置则可以简化为：
location /my/ {
proxy_pass ;
proxy_set_header Host $host:$server_port;
proxy_redirect / /my/;
}
location /other/ {
proxy_pass ;
proxy_set_header Host $host:$server_port;
proxy_redirect / /other/;
}
nginx的ngx_http_sub_module模块提供了类似的报文数据替换功能，该模块默认不会安装，需要在编译nginx时添加--with-http_sub_module参数，或者直接下载nginx的rpm包。
使用sub_filter对数据包进行替换的语法如下：
location /my/ {
proxy_pass ;
proxy_set_header Host $host:$server_port;
sub_filter 'href="/' 'href="/my/';
sub_filter 'src="/' 'src="/my/';
sub_filter_types text/html;
sub_filter_once off;
}
上述配置会将/my/下的所有响应报文内容的href="/替换为href="/my，以及src="/替换为src="/my，即为所有的绝对路径添加公共前缀。
注意，如果需要配置多个sub_filter，必须保证nginx是1.9.4版本之上的。
nginx怎么防止ddos攻击cc攻击等流量攻击
nginx防止攻击，分流量攻击和cc攻击，如果是拒绝服务，只能判断然后限制一个ip，只访问几次 1. ngx_http_limit_conn_module 可以用来限制单个IP的连接数 2. ngx_http_limit_req_module 可以用来限制单个IP每秒请求数 3. nginx_limit_speed_module 可以用来对IP限速 试试ngx_lua_waf 功能： 防止sql注入，本地包含，部分溢出，fuzzing测试，xss,SSRF等web攻击 防止svn/备份之类文件泄漏 防止ApacheBench之类压力测试工具的攻击 屏蔽常见的扫描黑客工具，扫描器 屏蔽异常的网络请求 屏蔽图片附件类目录php执行权限 防止webshell上传
Content-Security-Policy（CSP）漏洞，解决方案
Content-Security-Policy内容安全策略 (CSP) 是一个额外的安全层，用于检测并削弱某些特定类型的攻击，包括跨站脚本 (XSS) 和数据注入攻击等。无论是数据盗取、网站内容污染还是散发恶意软件，这些攻击都是主要的手段。CSP 的实质就是白名单制度，开发者明确告诉客户端，哪些外部资源可以加载和执行，等同于提供白名单。它的实现和执行全部由浏览器完成，开发者只需提供配置。CSP 大大增强了网页的安全性。攻击者即使发现了漏洞，也没法注入脚本，除非还控制了一台列入了白名单的可信主机。
注意：CSP开启可能会导致js、css出现报错，所以需要正确的配置开始CSP策略。
启用 CSP方法：一种是通过 HTTP 头信息的Content-Security-Policy的字段，另一种是通过网页的meta标签。
第一种：修改 nginx 配置文件
在nginx.conf 配置文件中，增加如下配置内容：
第二种：通过网页的meta标签
该指令说明：允许自身css、js和高德地图api、地图数据。
CSP 指令说明：
default-src : 定义针对所有类型（js/image/css/font/ajax/iframe/多媒体等）资源的默认加载策略，如果某类型资源没有单独定义策略，就使用默认的。
script-src : 定义针对 JavaScript 的加载策略。
style-src : 定义针对样式的加载策略。
worker-src：worker脚本。
img-src : 定义针对图片的加载策略。
font-src : 定义针对字体的加载策略。
media-src : 定义针对多媒体的加载策略，例如:音频标签audio和视频标签video。
object-src : 定义针对插件的加载策略，例如：object、embed、applet。
child-src : 定义针对框架的加载策略，例如： frame,iframe。
connect-src : 定义针对 Ajax/WebSocket 等请求的加载策略。不允许的情况下，浏览器会模拟一个状态为400的响应。
sandbox : 定义针对 sandbox 的限制，相当于 iframe的sandbox属性。
report-uri : 告诉浏览器如果请求的资源不被策略允许时，往哪个地址提交日志信息。
form-action : 定义针对提交的 form 到特定来源的加载策略。
referrer : 定义针对 referrer 的加载策略。
reflected-xss : 定义针对 XSS 过滤器使用策略。