自用nginx配置（常见安全配置，http转https，http和https混合请求，解决http host头攻击漏洞）

自用nginx配置（常见安全配置，http转https，http和https混合请求，解决http host头攻击漏洞）

#user  nobody;
worker_processes  1;

#error_log  logs/error.log;
#error_log  logs/error.log  notice;
#error_log  logs/error.log  info;

#pid        logs/nginx.pid;


events {
    worker_connections  1024;
}


http {
    include       mime.types;
    default_type  application/octet-stream;

    #log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
    #                  '$status $body_bytes_sent "$http_referer" '
    #                  '"$http_user_agent" "$http_x_forwarded_for"';

    #access_log  logs/access.log  main;
	
	access_log off; 

    sendfile        on;
    #tcp_nopush     on;

    #keepalive_timeout  0;
    #keepalive_timeout  65;
    keepalive_timeout  60 60;
	
	# 设置请求正文即请求体（request body）的读超时时间
	client_body_timeout 60s;  
    # 指定等待client发送一个请求头的超时时间	
    client_header_timeout 60s; 	
	# 设置将响应传输到客户端的超时
    send_timeout 60s;  
	# 有大文件上传时，需要指定body的最大值
	client_max_body_size 50m;
    # 限制了同一ip1秒钟内最多可以请求20次
    #limit_req_zone $binary_remote_addr zone=reqperip:20m rate=50r/s;
	# 同一ip的请求使用缓存，大小为10，并且不延迟
    #limit_req zone=reqperip burst=50 nodelay;
	 
	# 限制并发数，$binary_remote_addr是限制同一客户端ip地址；
    limit_conn_zone $binary_remote_addr zone=one:10m; 
    # 限制并发数，$server_name是限制同一server最大并发数	
    limit_conn_zone $server_name zone=perserver:10m;   
	# 最大并发连接数100
    limit_conn one  500; 
    # 表示该服务提供的总连接数不得超过2000,超过请求的会被拒绝	
    limit_conn perserver 2000;  
	# 限制下载带宽，limit_rate为限制下载速度；
    limit_rate 5000k;           
	
	
	#隐藏Nginx版本号
	server_tokens off;
		
	#隐藏Nginx后端服务指定Header的状态：
	proxy_hide_header X-Powered-By;
    proxy_hide_header Server;	

	#防止XSS攻击
	add_header X-Frame-Options SAMEORIGIN;
	add_header X-XSS-Protection '1;mode=block';
	add_header X-Content-Type-Options nosniff;
	
    
	###############
    gzip  on;  # 默认压缩配置
    gzip_min_length 2k; # 小于2k的不压缩
    gzip_proxied any; # 无条件压缩
    gzip_comp_level 2; # 压缩级别1~9，越高压缩越小CPU资源消耗越多
    gzip_buffers 16 8k; # 存储压缩结果数据流，以8k为单位，向内存申请16倍
	

    #gzip  on;
	
	#定义负载均衡域名，供后面的http和https使用 test.abc.com 
	upstream server8180 { 
      server 127.0.0.1:8180;   
    }





    # another virtual host using mix of IP-, name-, and port-based configuration
    #
    #server {
    #    listen       8000;
    #    listen       somename:8080;
    #    server_name  somename  alias  another.alias;

    #    location / {
    #        root   html;
    #        index  index.html index.htm;
    #    }
    #}


    # HTTPS server
	
    server {
	    listen       80;
        listen       443 ssl;  
        # 配置Nginx解决http host头攻击漏洞https://blog.csdn.net/weixin_48207312/article/details/128288660
		server_name 127.0.0.1 test.abc.com localhost;
        if ($http_Host !~* ^127.0.0.1|test.abc.com|localhost$)
        {
            return 403;
        }

        ssl_certificate      my_ssl.pem;
        ssl_certificate_key  my_ssl.key;

        ssl_session_cache    shared:SSL:1m;
        ssl_session_timeout  5m;

        ssl_ciphers  HIGH:!aNULL:!MD5;
        ssl_prefer_server_ciphers  on;
		
		
		
		
		# 自定义错误页（关键参数：这个变量开启后，我们才能自定义错误页面，当后端返回404，nginx拦截错误定义错误页面）
        proxy_intercept_errors on;
        error_page  404  /404.html;
        # 承接上面的location。

        location = /404.html {
            # 放错误页面的目录路径。
            root   html;
        }		
		
	    location /html {
            # 放错误页面的目录路径。
            root   html;
        }		
		
		#强制将http重定向到https
		if ($scheme = http) {
           return 307 https://$host$request_uri;
        }
		
		#解决Nginx HTTP服务器的报错“400 Bad Request: The plain HTTP request was sent to HTTPS port”
		
		location ~/ {
			proxy_set_header Host $host;
			proxy_set_header X-Real-IP $remote_addr;
			proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
			proxy_set_header X-Forwarded-Proto https;
			proxy_pass http://server8180;
			proxy_redirect http:// https://;
			
			#解决http和https混合请求报错
		    add_header Content-Security-Policy upgrade-insecure-requests;
		}

        
	
        #location / {
        #    root   html;
        #    index  index.html index.htm;
        #}
    }

}