防止恶意文件上传的 Nginx 设置指南

一、为什么需要防范恶意文件上传？

恶意文件上传是Web应用常见攻击手段，攻击者可能通过上传PHP/JS等可执行文件获取服务器权限，或上传超大文件导致存储耗尽。Nginx作为前端代理，可通过以下配置从网络层阻断这类攻击。

二、关键防护配置

1. 限制允许的文件扩展名

location /upload/ {
     只允许图片和常见文档类型
    if ($request_filename ~ ".(php|jsp|asp|sh|exe|)$") {
        return 403;
    }
     更精确的正则匹配（白名单模式）
    if ($request_filename !~ ".(jpg|jpeg|png|gif|pdf|doc|docx|xls|xlsx)$") {
        return 415;
    }
}

2. 控制文件上传大小

http {
    client_max_body_size 10M;   全局限制
    client_body_buffer_size 128k;
    
    location /upload/ {
        client_max_body_size 5M;   特定路径更严格限制
    }
}

3. 禁用危险HTTP方法

location / {
    limit_except GET POST {
        deny all;
    }
}

4. 目录执行权限隔离

location ~ /uploads/..(php|pl|py|jsp|asp)$ {
    deny all;
}

location /uploads/ {
    autoindex off;   禁止目录浏览
}

三、增强型防护措施

1. 文件内容校验（需配合后端）

location /upload/ {
     强制检查Content-Type
    valid_referers none blocked server_names;
    if ($invalid_referer) {
        return 403;
    }
}

2. 速率限制

limit_req_zone $binary_remote_addr zone=upload:10m rate=1r/s;

location /upload/ {
    limit_req zone=upload burst=5;
}

3. 日志监控

log_format upload_log '$remote_addr - $request_filename [$time_local]';
location /upload/ {
    access_log /var/log/nginx/upload.log upload_log;
}

四、最佳实践建议

• 结合后端进行二次文件校验（如Magic Number检测）
• 上传目录设置为不可执行（chmod -R 750 /uploads）
• 定期审计服务器上的异常文件
• 使用单独域名隔离上传服务（如upload.yourdomain.com）

通过以上Nginx配置组合，可有效拦截90%以上的恶意文件上传尝试。实际部署时应根据业务需求调整参数，并建议配合WAF实现多层防护。