欢迎来到8455线路检测中心技术小课堂，每天分享一个技术小知识。

要创建一个Nginx的最小安全配置模板,你需要确保配置文件（通常是nginx.conf或位于/etc/nginx/sites-available/目录下的特定站点配置文件）包含了基本的安全措施。

以下是 Nginx 最小安全配置模板，涵盖基础加固、访问控制、传输加密、安全响应头等常见安全项，可直接作为生产环境的起点。

1.完整配置模板

# ================= 全局配置 =================

user  nginx;

worker_processes  auto;

error_log  /var/log/nginx/error.log warn;

pid        /usr/local/nginx/logs/nginx.pid;

events {

    worker_connections  65535;

    use                   epoll;

    multi_accept          on;

}

http {

    # ============ 基础安全 ============

    # 隐藏版本号（防止泄露版本信息被针对性攻击）

    server_tokens off;

    # 禁用目录列表（防止目录遍历泄露文件结构）

    autoindex off;

    # 禁用 SSI（防止服务端包含执行）

    ssi off;

    # 重定向时不暴露端口号

    port_in_redirect off;

    # 隐藏后端技术标识（反向代理场景）

    proxy_hide_header X-Powered-By;

    proxy_hide_header Server;

    # ============ 日志格式 ============

    log_format main '$remote_addr - $remote_user [$time_local] "$request" '

                    '$status $body_bytes_sent "$http_referer" '

                    '"$http_user_agent" "$http_x_forwarded_for"';

    access_log /var/log/nginx/access.log main;

    # ============ 请求限制 ============

    # 单IP请求频率限制：10r/s，突发20，不延迟

    limit_req_zone $binary_remote_addr zone=req_limit:10m rate=10r/s;

    # 单IP并发连接数限制：最多20个

    limit_conn_zone $binary_remote_addr zone=conn_limit:10m;

    # ============ 文件上传限制 ============

    # 最大请求体大小（防止大文件上传耗尽资源）

    client_max_body_size 10m;

    # 请求体缓冲区大小

    client_body_buffer_size 128k;

    # ============ 缓冲区溢出防护 ============

    client_header_buffer_size 1k;

    large_client_header_buffers 4 8k;

    # ============ 超时设置（防慢速攻击） ============

    client_header_timeout 10s;

    client_body_timeout   10s;

    send_timeout          10s;

    keepalive_timeout     65s;

    # ============ MIME类型安全 ============

    include       mime.types;

    default_type  application/octet-stream;

    # ============ 默认Server（拦截非法Host头） ============

    server {

        listen      80 default_server;

        server_name _;

        return      403;

    }

    # ============ 业务Server ============

    server {

        listen      80;

        server_name example.com www.landui.com;

        # 强制跳转HTTPS

        return 301 https://$host$request_uri;

    }

    server {

        listen              443 ssl http2;

        server_name         example.com www.landui.com;

        # ============ SSL/TLS安全配置 ============

        ssl_certificate     /etc/nginx/ssl/fullchain.pem;

        ssl_certificate_key /etc/nginx/ssl/privkey.pem;

        # 仅启用TLS 1.2和1.3

        ssl_protocols       TLSv1.2 TLSv1.3;

        # 安全加密套件（前向保密）

        ssl_ciphers         'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305';

        ssl_prefer_server_ciphers on;

        # 会话复用

        ssl_session_timeout 1d;

        ssl_session_cache   shared:MozSSL:10m;

        # OCSP装订（提升SSL握手效率）

        ssl_stapling        on;

        ssl_stapling_verify on;

        # HSTS（强制浏览器使用HTTPS，一年）

        add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

        # ============ 安全响应头 ============

        # 防点击劫持

        add_header X-Frame-Options "SAMEORIGIN" always;

        # 防MIME类型嗅探

        add_header X-Content-Type-Options "nosniff" always;

        # 启用XSS过滤

        add_header X-XSS-Protection "1; mode=block" always;

        # 控制Referer信息传递

        add_header Referrer-Policy "strict-origin-when-cross-origin" always;

        # 内容安全策略（根据实际业务调整）

        add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' ; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; font-src 'self' ; connect-src 'self'; frame-ancestors 'self';" always;

        # ============ 限制HTTP方法 ============

        if ($request_method !~ ^(GET|HEAD|POST|PUT|DELETE|OPTIONS)$) {

            return 405;

        }

        # ============ 应用请求限制 ============

        limit_req   zone=req_limit burst=20 nodelay;

        limit_conn  conn_limit 20;

        # ============ 站点根目录 ============

        root   /var/www/html;

        index  index.html index.htm;

        location / {

            try_files $uri $uri/ =404;

        }

        # ============ 敏感路径保护 ============

        # 管理后台：IP白名单 + 基础认证

        location /admin {

            allow 192.168.1.0/24;

            allow 10.0.0.0/8;

            deny all;

            auth_basic "Admin Area";

            auth_basic_user_file /etc/nginx/.htpasswd;

        }

        # 禁止访问敏感文件

        location ~* \\.(conf|log|bak|sql|git|htaccess|htpasswd)$ {

            deny all;

        }

        # 禁止在上传目录执行脚本

        location ~* /uploads/.*\\.(php|php5|pl|py|jsp|asp)$ {

            deny all;

        }

        # ============ 自定义错误页面 ============

        error_page 403 /403.html;

        error_page 404 /404.html;

        error_page 500 502 503 504 /50x.html;

        location = /403.html {

            root /var/www/html;

            internal;

        }

        location = /404.html {

            root /var/www/html;

            internal;

        }

        location = /50x.html {

            root /var/www/html;

            internal;

        }

    }

}

2.各模块作用速查

3.部署后验证清单

# 1. 测试配置语法

/usr/local/nginx/sbin/nginx -t -c /usr/local/nginx/conf/nginx.conf

# 2. 重载生效

systemctl reload nginx

# 3. 检查响应头是否包含安全头

curl -I | grep -E "X-Frame|X-Content|X-XSS|Strict-Transport"

# 4. 验证版本号已隐藏

curl -I | grep Server

# 5. SSL评级检测（浏览器访问 /ssltest/）

到此这篇关于Nginx 最小安全配置模板的文章就介绍到这了。

8455线路检测中心官网上拥有完善的技术支持库可供参考，大家可自行查阅，更多技术问题，可以直接咨询。同时，8455线路检测中心整理了运维必备的工具包免费分享给大家使用，需要的朋友可以直接咨询。

更多技术知识，8455线路检测中心期待与你一起探索。