Nginx 金融级安全加固指南

一份可直接用于生产环境的 Nginx 安全配置模板。涵盖安全响应头、SSL 强化、gzip 压缩、ACME 自动续签。

一、安全响应头

1.1 HSTS — 强制 HTTPS

add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;

max-age=63072000 = 2 年
includeSubDomains 覆盖所有子域名
preload 可提交到浏览器 HSTS 预加载列表

1.2 X-Frame-Options — 防点击劫持

add_header X-Frame-Options "SAMEORIGIN" always;

禁止被 iframe 嵌入（同源除外）。

1.3 X-Content-Type-Options — 防 MIME 嗅探

add_header X-Content-Type-Options "nosniff" always;

1.4 Referrer-Policy — 控制 Referrer 泄露

add_header Referrer-Policy "strict-origin-when-cross-origin" always;

跨站请求只发送 origin，不发送路径。

1.5 Permissions-Policy — 限制浏览器 API

add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;

禁止页面访问摄像头、麦克风、地理位置。

1.6 CSP — 内容安全策略

add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' https://giscus.app; style-src 'self' 'unsafe-inline' https://giscus.app; img-src 'self' data: https:; font-src 'self'; connect-src 'self' https://giscus.app; frame-src https://giscus.app; frame-ancestors 'self';" always;

关键点：

如果有第三方组件（如 Giscus 评论），必须显式放行其域名
script-src 不放行 unsafe-eval，防止 XSS 执行任意代码
frame-src 控制哪些域名可以被 iframe 嵌入

二、SSL 强化

ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384;
ssl_prefer_server_ciphers on;
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;
ssl_session_tickets off;

禁用 TLSv1.0 / TLSv1.1（已过时且不安全）
仅使用 AEAD cipher suite
关闭 session tickets（防止密钥泄露）

三、Gzip 压缩

gzip on;
gzip_vary on;
gzip_proxied any;
gzip_comp_level 6;
gzip_min_length 256;
gzip_types
    text/plain
    text/css
    text/javascript
    application/javascript
    application/json
    application/xml
    application/rss+xml
    image/svg+xml
    font/opentype
    text/x-component
    text/x-cross-origin-policy;

实测 HTML 压缩率 81%（29KB → 5.6KB）。

四、ACME 自动续签

4.1 HTTP 80 端口配置

server {
    listen 80;
    server_name example.com www.example.com;

    # ACME challenge — 不重定向
    location /.well-known/acme-challenge/ {
        root /var/www/example.com;
        default_type "text/plain";
    }

    location / {
        return 301 https://www.example.com$request_uri;
    }
}

⚠️ 关键： 如果裸域 301 到 www，ACME 验证请求也会被重定向导致失败。必须单独放行 /.well-known/acme-challenge/。

4.2 统一 SAN 证书

acme.sh --issue \
  -d example.com -d www.example.com \
  --webroot /var/www/example.com \
  --keylength ec-256 \
  --server letsencrypt

一张证书覆盖裸域和 www，续签只需一次。

4.3 自动续签 Cron

# 每天 UTC 02:00 执行
0 2 * * * /root/.acme.sh/acme.sh --cron --home /root/.acme.sh > /dev/null

安装证书时指定 reloadcmd，续签后自动重载 nginx：

acme.sh --install-cert -d example.com --ecc \
  --key-file /etc/nginx/ssl/example.com.key \
  --fullchain-file /etc/nginx/ssl/example.com.fullchain.cer \
  --reloadcmd "/usr/sbin/nginx -s reload"

五、Nginx 升级

5.1 添加官方源

echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] http://nginx.org/packages/ubuntu noble nginx" > /etc/apt/sources.list.d/nginx.list
curl -fsSL https://nginx.org/keys/nginx_signing.key | gpg --dearmor -o /usr/share/keyrings/nginx-archive-keyring.gpg
apt-get update && apt-get install -y nginx

5.2 1.30 语法变更

# 旧写法（已废弃）
listen 443 ssl http2;

# 新写法
listen 443 ssl;
http2 on;

六、完整配置模板

见 /etc/nginx/sites-available/fyiii.com，可直接复制修改使用。

Nginx 金融级安全加固指南 — 生产级配置模板