Nginx常用经典配置|反向代理、HTTPS重定向、端口转发
二级目录映射
目前前后端项目分离场景多了以后，一般是前端一个端口，后端一个端口。
如前端是https://example.com/index.html，调用的接口是https://example.com:4433
如此部署对于一些小项目未免有些麻烦，当然你在公网环境下也可以选择使用子域名、其他域名进行跨域访问。
这里说的是同一个域名，同一个端口，让前后端同时进行访问服务。
前端地址：https://example.com/index.html
接口地址：https://example.com/api/
这里先记录我已经测试通过的反向代理的方式，即不改变原本的server配置。直接通过反向代理将example.com/api 重定向到 example.com:4443/
location ^~ /api/ {
proxy_pass https://example.com:4433/;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
}nginx
Copy
值得一提的是，location段的^~是代表某个字符作为开头匹配，这里就是以/api/作为开头进行匹配URL规则。
这里不能写作~，因为~是正则匹配的意思，用了正则就不能再proxy_pass段配置URI了，所谓URI就是4433端口后面的/。
如果不写/，当访问example.com/api/index.php时，会代理到example.com:4433/api/index.php。并不能定位到后端的根路径，所以这里以/结束。
非标准HTTPS端口重定向
如果想让你的非标准https端口，如2083支持HTTP跳转HTTPS访问，请参照如下配置。
error_page 497 https://$host:2083$request_uri;nginx
Copy
如果不这么配置，默认当用户不确定网站协议时，采用了HTTP协议访问你的HTTPS网站就会出现无法访问。
错误如：The plain HTTP request was sent to HTTPS port
HTTP强制跳转HTTPS
日常为了保证访客安全性，我们常常需要让全站保持HTTPS访问，那么你可以通过以下配置。
server {
listen 80 default_server;
server_name example.com;
rewrite ^(.*) https://$server_name$1 permanent;
#上面的rewrite也可以写作
return 301 https://$host$request_uri;
}
server {
listen 443 ssl;
server_name example.com;
}Bash
Copy
做法是，让80监听到的HTTP链接全部重定向到HTTPS端口中。
HSTS策略保持HTTPS连接
与此同时，你也可以通过开启HSTS策略强制让访客浏览器保持使用HTTPS链接，添加如下代码：
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains;preload" always;nginx
Copy
- max-age：设置单位时间（秒）内強制使用 HTTPS 连接，这里为1年
- includeSubDomains：可选，站点所有子域同时生效
- preload：可选，非规范值，用于定义使用『HSTS 预加载列表』
- always：可选，保证所有响应都发送此响应头，包括各种內置错误响应
Nginx反向代理
反向代理的场景很多，例如前面的前后端统一域名端口，例如负载均衡等。
location / {
proxy_pass http://example.com;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
}nginx
Copy
完整参数配置
location / {
proxy_pass http://example.com;
proxy_redirect off;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_next_upstream error timeout invalid_header http_500 http_502 http_503 http_504;
proxy_max_temp_file_size 0;
proxy_connect_timeout 90;
proxy_send_timeout 90;
proxy_read_timeout 90;
proxy_buffer_size 4k;
proxy_buffers 4 32k;
proxy_busy_buffers_size 64k;
proxy_temp_file_write_size 64k;
}nginx
Copy
端口转发
Nginx端口转发性能也非常强大，可以用于内网数据库、其他服务端口外露的场景。
如将内网的192.168.1.2MySQL数据库端口通过Nginx所在服务器的33062端口进行外露。
upstream TCP3306 {
hash $remote_addr consistent;
server 192.168.1.2:3306;
}
server {
listen 33062;
proxy_connect_timeout 5s;
proxy_timeout 300s;
proxy_pass TCP3306;
}nginx
Copy
限制访问IP
可以通过 ngx_http_access_module 允许限制某些IP地址的访问。
比如仅允许内网 IP 访问管理后台页面。
location /admin {
allow 192.168.1.0/24;
allow 10.0.0.0/24;
deny all;
}nginx
Copy
其中的 192.168.1.0/24 和 10.0.0.0/24 皆为允许访问的 IP。默认从上而下依次匹配规则，如果匹配不中前面的内网IP，则默认命中最后的拒绝访问。
过滤请求类型
如果你已经明确知道你的网站只有 GET、POST、HEAD 这三种请求，其他请求完全用不到，则可以通过如下方式直接屏蔽掉。
if($request_method !~ ^(GET|HEAD|POST)$) {
return404;
}nginx
Copy
Timeout设置
有时候，为了优化一些网站性能，可以将超时时间设置低一些，来降低死链接。
http {
client_body_timeout 10;
client_header_timeout 30;
keepalive_timeout 30 30;
send_timeout 10;
}Bash
Copy
关闭Nginx版本号
当用户请求返回数据中不包含具体的nginx版本号，避免一些版本漏洞被猜解。
server_tokens off;