微信登录

Nginx高级 - http{}防守脚本 - httpSafe.conf

在每一个 http{}加上一个脚本

  1. http{
  2.         include conf.d/httpSafe.conf     # 在conf.d文件夹加上 httpSafe.conf
  3. }

httpSafe.conf

  1. server_tokens off;
  2. # 经常会有针对某个版本的nginx安全漏洞出现
  3. # 隐藏nginx版本号就成了主要的安全优化手段之一
  4. # 当然最重要的是及时升级修复漏洞
  6. ############################
  7. ###关于请求头防御add_header##
  8. ############################
  10. add_header X-Frame-Options SAMEORIGIN;
  11. # X-Frame-Options
  12. # 响应头表示是否允许浏览器加载frame等属性
  13. # 有三个配置DENY禁止任何网页被嵌入
  14. # SAMEORIGIN只允许本网站的嵌套
  15. # ALLOW-FROM允许指定地址的嵌套
  17. add_header X-XSS-Protection "1; mode=block";
  18. # X-XSS-Protection
  19. # 表示启用XSS过滤
  20. # （禁用过滤为X-XSS-Protection: 0）
  21. # mode=block表示若检查到XSS攻击则停止渲染页面
  23. add_header X-Content-Type-Options nosniff;
  24. # X-Content-Type-Options
  25. # 响应头用来指定浏览器对未指定或错误指定Content-Type资源真正类型的猜测行为
  26. # nosniff 表示不允许任何猜测
  27. # 在通常的请求响应中，浏览器会根据Content-Type来分辨响应的类型
  28. # 但当响应类型未指定或错误指定时，浏览会尝试启用MIME-sniffing来猜测资源的响应类型，这是非常危险的
  29. # 例如一个.jpg的图片文件被恶意嵌入了可执行的js代码，在开启资源类型猜测的情况下
  30. # 浏览器将执行嵌入的js代码，可能会有意想不到的后果
  32. add_header Content-Security-Policy "default-src 'self'";
  33. # Content-Security-Policy： 定义页面可以加载哪些资源
  34. # 上边的配置会限制所有的外部资源，都只能从当前域名加载
  35. # default-src定义针对所有类型资源的默认加载策略
  36. # self允许来自相同来源的内容
  38. add_header Strict-Transport-Security "max-age=31536000; includeSubDomains";
  39. # Strict-Transport-Security： 会告诉浏览器用HTTPS协议代替HTTP来访问目标站点
  40. # 上边的配置表示当用户第一次访问后，会返回一个包含了Strict-Transport-Security响应头的字段
  41. # 这个字段会告诉浏览器，在接下来的31536000秒内，当前网站的所有请求都使用https协议访问
  42. # 参数includeSubDomains是可选的，表示所有子域名也将采用同样的规则
Nginx高级 - http{}防守脚本 - httpSafe.conf