发现新版本

网站好像有新内容，是否更新(ﾟ⊿ﾟ)ﾂ？

openresty 怎么使用？

安装完成之后，和普通 nginx 使用一样。
具体配置如下

配置1

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
221
222
223
224
225
226
227
228
229
230
231
232
233
234
235
236
237
238
239
240
241
242
243
244
245
246
247
248
249
250
251
252
253
worker_processes  1;
events {
    worker_connections  1024;
}

http {

    # 接口缓存空间：100m，1分钟失效 SpringBoot 接口用 Nginx 缓存
    proxy_cache_path /tmp/nginx_cache levels=1:2 keys_zone=api_cache:100m inactive=60s max_size=1g;

    include       mime.types;
    default_type  application/octet-stream;

    # 接口限流 1/s
    limit_req_zone $binary_remote_addr zone=api_limit:10m rate=1r/s;
    # 全局限流 10/s
    limit_req_zone $binary_remote_addr zone=global:10m rate=10r/s;

    # 自定义限流返回页面
    limit_req_status 429;
    error_page 429 /429.html;
    lua_shared_dict redis_cache 10m;
    lua_package_path "$prefix/lua/?.lua;;";

    
    #后端服务负载均衡
    upstream gateway_servers {
        # 默认轮询
        # server 127.0.0.1:9999 weight=5; # 性能好，权重高
        # ip_hash;#  IP 哈希（IP 绑定
        # least_conn;#  最少连接
        # least_time header;#  plus专属, 不能用
        # random;# 随机
        random two least_conn; #随机挑 2 台最快的再选连接最少的
        server 127.0.0.1:9999 max_fails=3 fail_timeout=30s;
        server 127.0.0.1:9998 max_fails=3 fail_timeout=30s;
        server 127.0.0.1:9997 max_fails=3 fail_timeout=30s;
    }

    # Gzip 压缩配置
    #压缩前端资源：JS/CSS/HTML/JSON/ 字体 / SVG 全部压缩
    gzip on;
    gzip_vary on;
    gzip_proxied any;
    #压缩级别 6
    gzip_comp_level 6;
    gzip_types
        text/plain
        text/css
        text/xml
        text/javascript
        application/javascript
        application/x-javascript
        application/xml
        application/xml+rss
        application/json
        font/ttf
        font/otf
        image/svg+xml;
    #小于 1k 不压缩
    gzip_min_length 1k;
    gzip_buffers 16 8k;
    gzip_http_version 1.1;
    # 允许最大上传 100MB（自己改大小：10m、50m、100m、1000m）
    client_max_body_size 100M;
    # 上传超时时间 默认60s
    client_body_timeout 120s;
    # 隐藏 Nginx 版本号
    server_tokens off;
    # 80端口 → 强制跳HTTPS




    
    server {
        listen 80;
        server_name localhost;

        return 301 https://$host$request_uri;
    }


    server {
        listen 443 ssl;
        server_name localhost; # 匹配所有域名
        ssl_certificate      cert/server.crt;
        ssl_certificate_key  cert/server.key;
        # SSL 优化配置
        ssl_protocols TLSv1.2 TLSv1.3;
        ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:HIGH:!aNULL:!MD5:!RC4:!DHE;
        ssl_prefer_server_ciphers on;
        ssl_session_cache shared:SSL:10m;
        ssl_session_timeout 10m;

        # 通用安全响应头
        add_header X-Frame-Options SAMEORIGIN always; #禁止别人嵌套你的网站（防点击劫持）
        add_header X-XSS-Protection "1; mode=block" always; #浏览器自动拦截 XSS 攻击
        add_header X-Content-Type-Options nosniff always; #禁止浏览器自动解析文件类型（防上传漏洞）
        add_header Referrer-Policy "strict-origin-when-cross-origin" always; #控制地址来源泄露（保护隐私）
        #防注入、防外链资源、防 XSS（Vue / 前端通用不报错）
        add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'; img-src 'self' data:;" always;
        add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always; #禁止网页使用摄像头、麦克风、定位（安全默认

        # 黑名单校验  
        #设置密码
        # ok, err = red:auth("")
        #     if not ok then return end
        access_by_lua_block {
            local redis = require "resty.redis"
            local red = redis:new()
            red:set_timeout(1000)
            local ok, err = red:connect("127.0.0.1", 6379)
            if not ok then return end
            local ip = ngx.var.remote_addr
            local res, err = red:get("black_ip:" .. ip)
            if res == "1" then ngx.exit(403) end
        }

        # 跨域配置
        add_header Access-Control-Allow-Origin "*" always;
        add_header Access-Control-Allow-Methods "GET,POST,OPTIONS,PUT,DELETE" always;
        add_header Access-Control-Allow-Headers "*" always;
        add_header Access-Control-Allow-Credentials "true" always;

        if ($request_method = 'OPTIONS') {
            return 204;
        }

        # 禁止访问敏感文件/目录
        location ~ /\. {
            deny all;
            access_log off;
            log_not_found off;
            return 403;
        }

        location ~* \.env$ {
            deny all;
            return 403;
        }

        # 🔥 全局 10/s 限流生效在这里
        location / {
            limit_req zone=global burst=2 nodelay;
            root   html;
            index  index.html index.htm;
        }

        #全局添加黑名单
        location /add-black {
            limit_req zone=api_limit burst=1 nodelay;
            content_by_lua_block {
                local redis = require "resty.redis"
                local red = redis:new()
                red:connect("127.0.0.1", 6379)
                local ip = ngx.var.arg_ip
                if not ip then ngx.say("需要参数 ?ip=1.2.3.4") return end
                red:set("black_ip:" .. ip, "1")
                ngx.say("已拉黑 IP："..ip)
            }
        }

        #全局删除黑名单
        location /del-black {
            limit_req zone=api_limit burst=1 nodelay;
            content_by_lua_block {
                local redis = require "resty.redis"
                local red = redis:new()
                red:connect("127.0.0.1", 6379)
                local ip = ngx.var.arg_ip
                red:del("black_ip:" .. ip)
                ngx.say("已取消拉黑："..ip)
            }
        }

        #自定义接口黑名单校验
        location /api/ {
            proxy_pass http://gateway_servers; # 你的 SpringBoot 地址
            # 缓冲区
            proxy_cache api_cache;
            proxy_cache_valid 200 60s; # 成功缓存 1 分钟
            proxy_cache_key $host$uri$is_args$args;
            #代理超时
            proxy_connect_timeout 60s;
            proxy_send_timeout 60s;
            proxy_read_timeout 60s;
            #请求头转发
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_set_header X-Forwarded-Proto $scheme;
            proxy_set_header X-Forwarded-Host $host;
            proxy_set_header X-Forwarded-Port $server_port;

            # 代理缓冲区优化
            proxy_buffering on;
            proxy_buffer_size 32k;
            proxy_buffers 8 64k;
            proxy_busy_buffers_size 128k;


            # 转发所有自定义请求头（如 token、Authorization 等）
            proxy_pass_request_headers on;
            # 👇 这行就是【单独接口拉黑】，只对当前接口生效
            access_by_lua_block {
                local redis = require "resty.redis"
                local red = redis:new()
                red:set_timeout(1000)
                local ok, err = red:connect("127.0.0.1", 6379)
                if not ok then return end

                local ip = ngx.var.remote_addr
                local res, err = red:get("black_ip:api:" .. ip)
                if res == "1" then ngx.exit(403) end
            }

            # 你的接口业务...
        }
        #自定义接口拉黑
        location /add-black-api {
            content_by_lua_block {
                local redis = require "resty.redis"
                local red = redis:new()
                red:connect("127.0.0.1", 6379)
                local ip = ngx.var.arg_ip
                red:set("black_ip:api:" .. ip, "1")
                ngx.say("已拉黑 /api 接口的 IP："..ip)
            }
        }

        # 防盗链 + 缓存 Vue 静态资源 7天
        location ~* \.(js|css|png|jpg|jpeg|gif|ico|svg|woff|woff2|ttf|eot)$ {
            # 🔥 这行是修复后的，绝对不报错
            valid_referers none blocked server_names;

            if ($invalid_referer) {
                return 403;
            }

            expires    7d;
            add_header Cache-Control public;
        }

        # 不缓存 index.html（保证页面最新）
        location = /index.html {
            expires    -1;
            add_header Cache-Control no-store;
        }


    }
}

配置2

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
221
222
223
224
225
226
227
228
229
230
231
232
233
234
235
236
237
238
239
240
241
242
243
244
245
246
247
248
249
250
251
252
253
254
255
256
257
258
259
260
261
262
263
264
265
266
267
268
269
270
271
272
273
274
275
276
277
278
279
280
281
282
283
284
285
286
287
288
289
290
291
292
293
294
295
296
297
298
299
300
301
302
303
304
305
306
307
308
309
310
311
312
313
314
315
316
317
318
319
320
321
322
323
324
325
326
327
328
329
330
331
332
333
334
335
336
337
338
339
340
341
342
343
344
345
346
worker_processes auto;          # 自动使用CPU核心数（比1强10倍）
worker_rlimit_nofile 65535;     # 最大文件句柄数
events {
    #use epoll;                  # 高效IO模型（Windows自动兼容）
    worker_connections 65535;   # 单进程最大连接数（拉满）
    multi_accept on;            # 同时接受所有新连接
    accept_mutex off;           # 关闭锁争抢，提升并发
}

http {

    # ========== 高并发网络优化 ==========
    sendfile on;                # 零拷贝传输（静态资源加速）
    tcp_nopush on;              # 数据包合并发送
    tcp_nodelay on;             # 低延迟
    keepalive_timeout 65;       # 长连接保持
    keepalive_requests 1000;    # 单长连接最多请求数
    client_header_timeout 30s;
    # client_body_timeout 30s;
    reset_timedout_connection on;

    # 接口缓存空间：100m，1分钟失效 SpringBoot 接口用 Nginx 缓存
    proxy_cache_path /tmp/nginx_cache levels=1:2 keys_zone=api_cache:100m inactive=60s max_size=1g;

    include       mime.types;
    default_type  application/octet-stream;

    # 接口限流 1/s
    limit_req_zone $binary_remote_addr zone=api_limit:10m rate=1r/s;
    # 全局限流 10/s
    limit_req_zone $binary_remote_addr zone=global:10m rate=10r/s;

    # ========== 【并发限制】同一个IP最多 10 个同时连接 ==========
    limit_conn_zone $binary_remote_addr zone=conn_limit:10m;

    # 自定义限流返回页面
    limit_req_status 429;
    error_page 429 /429.html;
    lua_shared_dict redis_cache 10m;
    lua_package_path "$prefix/lua/?.lua;;";

    
    #后端服务负载均衡
    upstream gateway_servers {
        # 默认轮询
        # server 127.0.0.1:9999 weight=5; # 性能好，权重高
        # ip_hash;#  IP 哈希（IP 绑定
        # least_conn;#  最少连接
        # least_time header;#  plus专属, 不能用
        # random;# 随机
        random two least_conn; #随机挑 2 台最快的再选连接最少的
        server 127.0.0.1:9999 max_fails=3 fail_timeout=15s;
        server 127.0.0.1:9998 max_fails=3 fail_timeout=15s;
        server 127.0.0.1:9997 max_fails=3 fail_timeout=15s;
    }

    # Gzip 压缩配置
    #压缩前端资源：JS/CSS/HTML/JSON/ 字体 / SVG 全部压缩
    gzip on;
    gzip_vary on;
    gzip_proxied any;
    #压缩级别 6
    gzip_comp_level 6;
    gzip_types
        text/plain
        text/css
        text/xml
        text/javascript
        application/javascript
        application/x-javascript
        application/xml
        application/xml+rss
        application/json
        font/ttf
        font/otf
        image/svg+xml;
    #小于 1k 不压缩
    gzip_min_length 1k;
    gzip_buffers 16 8k;
    gzip_http_version 1.1;
    # 允许最大上传 100MB（自己改大小：10m、50m、100m、1000m）
    client_max_body_size 100M;
    # 上传超时时间 默认60s
    client_body_timeout 120s;
    # 隐藏 Nginx 版本号
    server_tokens off;
    # 80端口 → 强制跳HTTPS

# ==================== BROTLI 压缩（比 GZIP 更强） linux支持 ====================
    # brotli on;
    # brotli_comp_level 6;
    # brotli_types
    #     text/plain
    #     text/css
    #     text/xml
    #     text/javascript
    #     application/javascript
    #     application/x-javascript
    #     application/xml
    #     application/xml+rss
    #     application/json
    #     font/ttf
    #     font/otf
    #     image/svg+xml
    #     application/font-woff
    #     application/font-woff2;

    # brotli_static on;
    # brotli_min_length 1k;
    # brotli_vary on;


    
    server {
        listen 80;
        server_name localhost;

        return 301 https://$host$request_uri;
    }


    server {
        #listen 443 quic reuseport; #linux支持
        listen 443 ssl;
        http2 on; #HTTP/2
        #http3 on; #HTTP/3 linux支持
        server_name localhost; # 匹配所有域名
        ssl_certificate      cert/server.crt;
        ssl_certificate_key  cert/server.key;
        # SSL 优化配置
        ssl_protocols TLSv1.2 TLSv1.3;
        ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:HIGH:!aNULL:!MD5:!RC4:!DHE;
        ssl_prefer_server_ciphers on;
        ssl_session_cache shared:SSL:10m;
        ssl_session_timeout 10m;

        

        # 通用安全响应头
        add_header X-Frame-Options SAMEORIGIN always; #禁止别人嵌套你的网站（防点击劫持）
        add_header X-XSS-Protection "1; mode=block" always; #浏览器自动拦截 XSS 攻击
        add_header X-Content-Type-Options nosniff always; #禁止浏览器自动解析文件类型（防上传漏洞）
        add_header Referrer-Policy "strict-origin-when-cross-origin" always; #控制地址来源泄露（保护隐私）
        #防注入、防外链资源、防 XSS（Vue / 前端通用不报错）
        add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'; img-src 'self' data:;" always;
        add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always; #禁止网页使用摄像头、麦克风、定位（安全默认

        # 【终极合并】Redis IP黑名单 + WAF防火墙（无重复、不报错）
        access_by_lua_block {
            local ngx = ngx
            local redis = require "resty.redis"

            -- ==========================================
            -- 第一步：Redis 全局 IP 黑名单
            -- ==========================================
            local red = redis:new()
            red:set_timeout(1000)
            local ok, err = red:connect("127.0.0.1", 6379)
            if ok then
                local ip = ngx.var.remote_addr
                local res, err = red:get("black_ip:" .. ip)
                if res == "1" then
                    ngx.exit(403)
                end
            end

            -- ==========================================
            -- 第二步：WAF 防火墙（防注入、XSS、扫描）
            -- ==========================================
            local uri = ngx.var.uri or ""
            local args = ngx.var.args or ""
            local ua = ngx.var.http_user_agent or ""
            local target = uri .. " " .. args .. " " .. ua

            local rules = {
                "[\\'\\\"\\;\\-\\-]+.*(union|select|insert|delete|update|drop|alter|exec|declare)",
                "and\\s+1=1|or\\s+1=1|sleep\\(|benchmark\\(",
                "<script|javascript:|vbscript:|onload=|onerror=|alert\\(|eval\\(",
                "\\.\\./|\\.\\.%2F|\\.\\.%5C",
                "curl|wget|nc|python|php|bash|cmd|whoami|pwd|cat|ls",
                "nmap|sqlmap|burp|fofa|dirb|dirbuster|scanner|crawler|bot"
            }

            for _, rule in ipairs(rules) do
                if ngx.re.match(target, rule, "ijo") then
                    ngx.log(ngx.WARN, "WAF 拦截: ", ngx.var.remote_addr)
                    ngx.exit(403)
                end
            end
        }

        # 跨域配置
        add_header Access-Control-Allow-Origin "*" always;
        add_header Access-Control-Allow-Methods "GET,POST,OPTIONS,PUT,DELETE" always;
        add_header Access-Control-Allow-Headers "*" always;
        add_header Access-Control-Allow-Credentials "true" always;

        if ($request_method = 'OPTIONS') {
            return 204;
        }

        # 禁止访问敏感文件/目录
        location ~ /\. {
            deny all;
            access_log off;
            log_not_found off;
            return 403;
        }

        location ~* \.env$ {
            deny all;
            return 403;
        }

        # 🔥 全局 10/s 限流生效在这里
        location / {
            limit_conn conn_limit 10;# 最多10个并发
            limit_req zone=global burst=2 nodelay;
            root   html;
            index  index.html index.htm;
        }

        #全局添加黑名单
        location /add-black {
            limit_req zone=api_limit burst=1 nodelay;
            content_by_lua_block {
                local redis = require "resty.redis"
                local red = redis:new()
                red:connect("127.0.0.1", 6379)
                local ip = ngx.var.arg_ip
                if not ip then ngx.say("需要参数 ?ip=1.2.3.4") return end
                red:set("black_ip:" .. ip, "1")
                ngx.say("已拉黑 IP："..ip)
            }
        }

        #全局删除黑名单
        location /del-black {
            limit_req zone=api_limit burst=1 nodelay;
            content_by_lua_block {
                local redis = require "resty.redis"
                local red = redis:new()
                red:connect("127.0.0.1", 6379)
                local ip = ngx.var.arg_ip
                red:del("black_ip:" .. ip)
                ngx.say("已取消拉黑："..ip)
            }
        }

        #自定义接口黑名单校验
        location /api/ {
            # 并发 + 速率双限制
            limit_conn conn_limit 10;
            limit_req zone=api_limit burst=5 nodelay;
            proxy_pass http://gateway_servers; # 你的 SpringBoot 地址
            # 缓冲区
            proxy_cache api_cache;
            proxy_cache_valid 200 60s; # 成功缓存 1 分钟
            proxy_cache_key $host$uri$is_args$args;
            #代理超时
            proxy_connect_timeout 60s;
            proxy_send_timeout 60s;
            proxy_read_timeout 60s;
            #请求头转发
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_set_header X-Forwarded-Proto $scheme;
            proxy_set_header X-Forwarded-Host $host;
            proxy_set_header X-Forwarded-Port $server_port;

            # 代理缓冲区优化
            proxy_buffering on;
            proxy_buffer_size 32k;
            proxy_buffers 8 64k;
            proxy_busy_buffers_size 128k;

            # 自动故障转移
            proxy_next_upstream error timeout invalid_header http_500 http_502 http_503 http_504;
            proxy_next_upstream_tries 3;
            proxy_next_upstream_timeout 3s;

            # WebSocket 支持（自动兼容，不影响普通接口）
            proxy_set_header Upgrade $http_upgrade;
            proxy_set_header Connection $http_connection;
            proxy_http_version 1.1;


            # 转发所有自定义请求头（如 token、Authorization 等）
            proxy_pass_request_headers on;
            # 👇 这行就是【单独接口拉黑】，只对当前接口生效
            access_by_lua_block {
                local redis = require "resty.redis"
                local red = redis:new()
                red:set_timeout(1000)
                local ok, err = red:connect("127.0.0.1", 6379)
                if not ok then return end

                local ip = ngx.var.remote_addr
                local res, err = red:get("black_ip:api:" .. ip)
                if res == "1" then ngx.exit(403) end
            }

        }
        #自定义接口拉黑
        location /add-black-api {
            content_by_lua_block {
                local redis = require "resty.redis"
                local red = redis:new()
                red:connect("127.0.0.1", 6379)
                local ip = ngx.var.arg_ip
                red:set("black_ip:api:" .. ip, "1")
                ngx.say("已拉黑 /api 接口的 IP："..ip)
            }
        }

        # 防盗链 + 缓存 Vue 静态资源 7天
        location ~* \.(js|css|png|jpg|jpeg|gif|ico|svg|woff|woff2|ttf|eot)$ {
            # 🔥 这行是修复后的，绝对不报错
            valid_referers none blocked server_names;

            if ($invalid_referer) {
                return 403;
            }

            expires    7d;
            add_header Cache-Control public;
        }

        # 不缓存 index.html（保证页面最新）
        location = /index.html {
            expires    -1;
            add_header Cache-Control no-store;
        }

        # Nginx 状态页（给 exporter 用）
        location /nginx-status {
            stub_status;
            access_log off;
            allow 127.0.0.1;
            deny all;
        }


    }
}

配置3

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
221
222
223
224
225
226
227
228
229
230
231
232
233
234
235
236
237
238
239
240
241
242
243
244
245
246
247
248
249
250
251
252
253
254
255
256
257
258
259
260
261
262
263
264
265
266
267
268
269
270
271
272
273
274
275
276
277
278
279
280
281
282
283
284
285
286
287
288
289
290
291
292
293
294
295
296
297
298
299
300
301
302
303
304
305
306
307
308
309
310
311
312
313
314
315
316
317
318
319
320
321
322
323
324
325
326
327
328
329
330
331
332
333
334
335
336
337
338
339
340
341
342
343
344
345
346
347
348
349
350
351
352
353
354
355
356
357
358
359
360
361
362
363
364
365
366
367
368
369
370
371
372
373
374
375
376
377
378
379
380
381
382
383
384
385
386
387
388
worker_processes auto;          # 自动使用CPU核心数（比1强10倍）
worker_rlimit_nofile 65535;     # 最大文件句柄数
events {
    #use epoll;                  # 高效IO模型（Windows自动兼容）
    worker_connections 65535;   # 单进程最大连接数（拉满）
    multi_accept on;            # 同时接受所有新连接
    accept_mutex off;           # 关闭锁争抢，提升并发
}

http {

    # ========== 高并发网络优化 ==========
    sendfile on;                # 零拷贝传输（静态资源加速）
    tcp_nopush on;              # 数据包合并发送
    tcp_nodelay on;             # 低延迟
    keepalive_timeout 65;       # 长连接保持
    keepalive_requests 1000;    # 单长连接最多请求数
    client_header_timeout 30s;
    # client_body_timeout 30s;
    reset_timedout_connection on;

    # 接口缓存空间：100m，1分钟失效 SpringBoot 接口用 Nginx 缓存
    proxy_cache_path /tmp/nginx_cache levels=1:2 keys_zone=api_cache:100m inactive=60s max_size=1g;

    include       mime.types;
    default_type  application/octet-stream;

    # 接口限流 1/s
    limit_req_zone $binary_remote_addr zone=api_limit:10m rate=1r/s;
    # 全局限流 10/s
    limit_req_zone $binary_remote_addr zone=global:10m rate=10r/s;

    # ========== 【并发限制】同一个IP最多 10 个同时连接 ==========
    limit_conn_zone $binary_remote_addr zone=conn_limit:10m;

    # 自定义限流返回页面
    limit_req_status 429;
    error_page 429 /429.html;
    lua_shared_dict redis_cache 10m;
    lua_package_path "$prefix/lua/?.lua;;";

    # 🔥 上游健康检查（核心）
    lua_shared_dict healthcheck 1m;
    lua_socket_log_errors off;

    init_worker_by_lua_block {
        local hc = require "resty.upstream.healthcheck"

        -- 检查周期：每 3 秒检查一次
        local ok, err = hc.spawn_checker{
            shm = "healthcheck",          -- 共享内存
            upstream = "gateway_servers", -- 要检查的 upstream 名字
            type = "http",                -- 检查类型

            http_req = "GET /health HTTP/1.0\r\nHost: localhost\r\n\r\n",
            interval = 3000,              -- 3秒检查一次
            timeout = 1000,                -- 超时1秒
            fall = 3,                      -- 连续失败3次 → 标记down
            rise = 2,                      -- 连续成功2次 → 恢复
            valid_statuses = {200, 201},   -- 认为正常的状态码
        }

        if not ok then
            ngx.log(ngx.ERR, "healthcheck spawn error: ", err)
        end
    }

    
    #后端服务负载均衡
    upstream gateway_servers {
        # 默认轮询
        # server 127.0.0.1:9999 weight=5; # 性能好，权重高
        # ip_hash;#  IP 哈希（IP 绑定
        # least_conn;#  最少连接
        # least_time header;#  plus专属, 不能用
        # random;# 随机
        random two least_conn; #随机挑 2 台最快的再选连接最少的
        server 127.0.0.1:9999 max_fails=3 fail_timeout=15s;
        server 127.0.0.1:9998 max_fails=3 fail_timeout=15s;
        server 127.0.0.1:9997 max_fails=3 fail_timeout=15s;

        # 健康检查
        keepalive 300;
    }

    # Gzip 压缩配置
    #压缩前端资源：JS/CSS/HTML/JSON/ 字体 / SVG 全部压缩
    gzip on;
    gzip_vary on;
    gzip_proxied any;
    #压缩级别 6
    gzip_comp_level 6;
    gzip_types
        text/plain
        text/css
        text/xml
        text/javascript
        application/javascript
        application/x-javascript
        application/xml
        application/xml+rss
        application/json
        font/ttf
        font/otf
        image/svg+xml;
    #小于 1k 不压缩
    gzip_min_length 1k;
    gzip_buffers 16 8k;
    gzip_http_version 1.1;
    # 允许最大上传 100MB（自己改大小：10m、50m、100m、1000m）
    client_max_body_size 100M;
    # 上传超时时间 默认60s
    client_body_timeout 120s;
    # 隐藏 Nginx 版本号
    server_tokens off;
    # 80端口 → 强制跳HTTPS

# ==================== BROTLI 压缩（比 GZIP 更强） linux支持 ====================
    # brotli on;
    # brotli_comp_level 6;
    # brotli_types
    #     text/plain
    #     text/css
    #     text/xml
    #     text/javascript
    #     application/javascript
    #     application/x-javascript
    #     application/xml
    #     application/xml+rss
    #     application/json
    #     font/ttf
    #     font/otf
    #     image/svg+xml
    #     application/font-woff
    #     application/font-woff2;

    # brotli_static on;
    # brotli_min_length 1k;
    # brotli_vary on;


    
    server {
        listen 80;
        server_name localhost;

        return 301 https://$host$request_uri;
    }


    server {
        #listen 443 quic reuseport; #linux支持
        listen 443 ssl;
        http2 on; #HTTP/2
        #http3 on; #HTTP/3 linux支持
        server_name localhost; # 匹配所有域名
        ssl_certificate      cert/server.crt;
        ssl_certificate_key  cert/server.key;
        # SSL 优化配置
        ssl_protocols TLSv1.2 TLSv1.3;
        ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:HIGH:!aNULL:!MD5:!RC4:!DHE;
        ssl_prefer_server_ciphers on;
        ssl_session_cache shared:SSL:10m;
        ssl_session_timeout 10m;

        

        # 通用安全响应头
        add_header X-Frame-Options SAMEORIGIN always; #禁止别人嵌套你的网站（防点击劫持）
        add_header X-XSS-Protection "1; mode=block" always; #浏览器自动拦截 XSS 攻击
        add_header X-Content-Type-Options nosniff always; #禁止浏览器自动解析文件类型（防上传漏洞）
        add_header Referrer-Policy "strict-origin-when-cross-origin" always; #控制地址来源泄露（保护隐私）
        #防注入、防外链资源、防 XSS（Vue / 前端通用不报错）
        add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'; img-src 'self' data:;" always;
        add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always; #禁止网页使用摄像头、麦克风、定位（安全默认

        # 【终极合并】Redis IP黑名单 + WAF防火墙（无重复、不报错）
        access_by_lua_block {
            local ngx = ngx
            local redis = require "resty.redis"

            -- ==========================================
            -- 第一步：Redis 全局 IP 黑名单
            -- ==========================================
            local red = redis:new()
            red:set_timeout(1000)
            local ok, err = red:connect("127.0.0.1", 6379)
            if ok then
                local ip = ngx.var.remote_addr
                local res, err = red:get("black_ip:" .. ip)
                if res == "1" then
                    ngx.exit(403)
                end
            end

            -- ==========================================
            -- 第二步：WAF 防火墙（防注入、XSS、扫描）
            -- ==========================================
            local uri = ngx.var.uri or ""
            local args = ngx.var.args or ""
            local ua = ngx.var.http_user_agent or ""
            local target = uri .. " " .. args .. " " .. ua

            local rules = {
                "[\\'\\\"\\;\\-\\-]+.*(union|select|insert|delete|update|drop|alter|exec|declare)",
                "and\\s+1=1|or\\s+1=1|sleep\\(|benchmark\\(",
                "<script|javascript:|vbscript:|onload=|onerror=|alert\\(|eval\\(",
                "\\.\\./|\\.\\.%2F|\\.\\.%5C",
                "curl|wget|nc|python|php|bash|cmd|whoami|pwd|cat|ls",
                "nmap|sqlmap|burp|fofa|dirb|dirbuster|scanner|crawler|bot"
            }

            for _, rule in ipairs(rules) do
                if ngx.re.match(target, rule, "ijo") then
                    ngx.log(ngx.WARN, "WAF 拦截: ", ngx.var.remote_addr)
                    ngx.exit(403)
                end
            end
        }

        # 跨域配置
        add_header Access-Control-Allow-Origin "*" always;
        add_header Access-Control-Allow-Methods "GET,POST,OPTIONS,PUT,DELETE" always;
        add_header Access-Control-Allow-Headers "*" always;
        add_header Access-Control-Allow-Credentials "true" always;

        if ($request_method = 'OPTIONS') {
            return 204;
        }

        # 禁止访问敏感文件/目录
        location ~ /\. {
            deny all;
            access_log off;
            log_not_found off;
            return 403;
        }

        location ~* \.env$ {
            deny all;
            return 403;
        }

        # 🔥 全局 10/s 限流生效在这里
        location / {
            limit_conn conn_limit 10;# 最多10个并发
            limit_req zone=global burst=2 nodelay;
            root   html;
            index  index.html index.htm;
        }

        #全局添加黑名单
        location /add-black {
            limit_req zone=api_limit burst=1 nodelay;
            content_by_lua_block {
                local redis = require "resty.redis"
                local red = redis:new()
                red:connect("127.0.0.1", 6379)
                local ip = ngx.var.arg_ip
                if not ip then ngx.say("需要参数 ?ip=1.2.3.4") return end
                red:set("black_ip:" .. ip, "1")
                ngx.say("已拉黑 IP："..ip)
            }
        }

        #全局删除黑名单
        location /del-black {
            limit_req zone=api_limit burst=1 nodelay;
            content_by_lua_block {
                local redis = require "resty.redis"
                local red = redis:new()
                red:connect("127.0.0.1", 6379)
                local ip = ngx.var.arg_ip
                red:del("black_ip:" .. ip)
                ngx.say("已取消拉黑："..ip)
            }
        }

        #自定义接口黑名单校验
        location /api/ {
            # 并发 + 速率双限制
            limit_conn conn_limit 10;
            limit_req zone=api_limit burst=5 nodelay;
            proxy_pass http://gateway_servers; # 你的 SpringBoot 地址
            # 缓冲区
            proxy_cache api_cache;
            proxy_cache_valid 200 60s; # 成功缓存 1 分钟
            proxy_cache_key $host$uri$is_args$args;
            #代理超时
            proxy_connect_timeout 60s;
            proxy_send_timeout 60s;
            proxy_read_timeout 60s;
            #请求头转发
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_set_header X-Forwarded-Proto $scheme;
            proxy_set_header X-Forwarded-Host $host;
            proxy_set_header X-Forwarded-Port $server_port;

            # 代理缓冲区优化
            proxy_buffering on;
            proxy_buffer_size 32k;
            proxy_buffers 8 64k;
            proxy_busy_buffers_size 128k;

            # 自动故障转移
            proxy_next_upstream error timeout invalid_header http_500 http_502 http_503 http_504;
            proxy_next_upstream_tries 3;
            proxy_next_upstream_timeout 3s;

            # WebSocket 支持（自动兼容，不影响普通接口）
            proxy_set_header Upgrade $http_upgrade;
            proxy_set_header Connection $http_connection;
            proxy_http_version 1.1;


            # 转发所有自定义请求头（如 token、Authorization 等）
            proxy_pass_request_headers on;
            # 👇 这行就是【单独接口拉黑】，只对当前接口生效
            access_by_lua_block {
                local redis = require "resty.redis"
                local red = redis:new()
                red:set_timeout(1000)
                local ok, err = red:connect("127.0.0.1", 6379)
                if not ok then return end

                local ip = ngx.var.remote_addr
                local res, err = red:get("black_ip:api:" .. ip)
                if res == "1" then ngx.exit(403) end
            }

        }

        # 查看节点健康状态
        location /health-status {
            access_log off;
            allow 127.0.0.1;
            deny all;

            content_by_lua_block {
                local hc = require "resty.upstream.healthcheck"
                ngx.print(hc.status_page())
            }
        }

        #自定义接口拉黑
        location /add-black-api {
            content_by_lua_block {
                local redis = require "resty.redis"
                local red = redis:new()
                red:connect("127.0.0.1", 6379)
                local ip = ngx.var.arg_ip
                red:set("black_ip:api:" .. ip, "1")
                ngx.say("已拉黑 /api 接口的 IP："..ip)
            }
        }

        # 防盗链 + 缓存 Vue 静态资源 7天
        location ~* \.(js|css|png|jpg|jpeg|gif|ico|svg|woff|woff2|ttf|eot)$ {
            # 🔥 这行是修复后的，绝对不报错
            valid_referers none blocked server_names;

            if ($invalid_referer) {
                return 403;
            }

            expires    7d;
            add_header Cache-Control public;
        }

        # 不缓存 index.html（保证页面最新）
        location = /index.html {
            expires    -1;
            add_header Cache-Control no-store;
        }

        # Nginx 状态页（给 exporter 用）
        location /nginx-status {
            stub_status;
            access_log off;
            allow 127.0.0.1;
            deny all;
        }


    }
}