Nginx 安全策略配置合集

配置核心目标

浏览器沙箱规则

请求头可以理解为浏览器的权限控制系统：服务器通过 HTTP 响应头 告诉浏览器，哪些资源可信，哪些网站可信，哪些行为允许，哪些能力禁止。Nginx 只是下发策略，真正执行的是浏览器。

iframe 嵌入安全

控制谁可以嵌入你的网站。典型配置：

add_header X-Frame-Options "SAMEORIGIN" always;

防止点击劫持，防止别人用 iframe 嵌套你的后台。

CORS 跨域安全

控制谁可以调用你的接口。配置项有：

防止前端 AJAX/fetch 跨域访问，降低接口被任意网站调用带来的风险。

add_header Access-Control-Allow-Origin *;

CSP 内容安全策略

控制页面允许加载什么资源，配置项：Content-Security-Policy

CSP 可以防止 XSS 攻击、恶意脚本注入，并限制 JavaScript、CSS、图片等资源来源。典型配置如下：

add_header Content-Security-Policy "default-src 'self'; script-src 'self' cdn.xxx.com" always;

默认只加载本站资源，JavaScript 可以加载指定 CDN，这是现代 Web 安全里非常核心的一层。

HTTPS 安全配置

强制加密传输，配置项：Strict-Transport-Security

强制浏览器以后只能通过 HTTPS 访问，防止 SSL Strip 降级攻击。

add_header Strict-Transport-Security "max-age=3153600" always;

MIME 类型安全

控制浏览器不要乱猜文件类型。配置项：X-Content-Type-Options

add_header X-Content-Type-Options "nosniff" always;

防止浏览器把文件误识别成 JavaScript 执行，降低 XSS 风险。

Referrer 安全配置

控制 URL 信息泄露程度，配置项：Referrer-Policy

add_header Referrer-Policy "strict-origin-when-cross-origin" always;

防止完整 URL 泄露给第三方网站。

浏览器能力限制

控制页面能不能调用浏览器能力，配置项：Permissions-Policy

add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;

禁止网页调用摄像头、麦克风、地理位置等浏览器能力。

Cookie 安全配置

控制 Cookie 是否容易被盗，配置项：Set-Cookie

Set-Cookie: session=xxx; Secure; HttpOnly; SameSite=Lax

阅读原文：点击这里​