server_tokens off; 

proxy_hide_header X-Powered-By;
proxy_hide_header Server;

# 只允許192.168.1.0/24網(wǎng)段的主機訪問，拒絕其他所有

location /path/ {
allow 192.168.1.0/24;

deny all;

}

location /path/ {
deny 192.168.1.0/24;

allow all;

}

set $allow false;
if ($http_x_forwarded_for = "211.144.204.2") { set $allow true; }
if ($http_x_forwarded_for ~ "108.2.66.[89]") { set $allow true; }
if ($allow = false) { return 404; }

if ($http_user_agent ~(SemrushBot|python|MJ12bot|AhrefsBot|AhrefsBot|hubspot|opensiteexplorer|leiki|webmeup)) {
 
    return 444;
 
}

#uploads|templets|data 這些目錄禁止執(zhí)行 <a  rel="external nofollow"  title="更多關(guān)于 PHP 的文章" target="_blank">PHP</a>

location ~* ^/(uploads|templets|data)/.*.(php|php5)$ {
return 444;
}

location ~ \.(zip|rar|sql|bak|gz|7z)$ {
return 444;
}

add_header X-Frame-Options "SAMEORIGIN";
add_header X-XSS-Protection "1; mode=block";
add_header X-Content-Type-Options "nosniff";

* X-Frame-Options： 響應(yīng)頭表示是否允許瀏覽器加載frame等屬性，有三個配置

DENY：禁止任何網(wǎng)頁被嵌入;

SAMEORIGIN: 只允許本網(wǎng)站的嵌套;

ALLOW-FROM: 允許指定地址的嵌套;

* X-XSS-Protection： 表示啟用XSS過濾（禁用過濾為X-XSS-Protection: 0），mode=block表示若檢查到XSS攻擊則停止渲染頁面

* X-Content-Type-Options： 響應(yīng)頭用來指定瀏覽器對未指定或錯誤指定Content-Type資源真正類型的猜測行為，nosniff 表示不允許任何猜測;

add_header Content-Security-Policy "default-src 'self'";
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains";

client_body_buffer_size 1K;
client_header_buffer_size 1k;
client_max_body_size 1k;

large_client_header_buffers 2 1k;

* client_body_buffer_size： 默認8k或16k，表示客戶端請求body占用緩沖區(qū)大小。如果連接請求超過緩存區(qū)指定的值，那么這些請求實體的整體或部分將嘗試寫入一個臨時文件。

* client_header_buffer_size： 表示客戶端請求頭部的緩沖區(qū)大小。絕大多數(shù)情況下一個請求頭不會大于1k，不過如果有來自于wap客戶端的較大的cookie它可能會大于 1k，Nginx將分配給它一個更大的緩沖區(qū)，這個值可以在large_client_header_buffers里面設(shè)置

* client_max_body_size： 表示客戶端請求的最大可接受body大小，它出現(xiàn)在請求頭部的Content-Length字段， 如果請求大于指定的值，客戶端將收到一個"Request Entity Too Large" (413)錯誤，通常在上傳文件到服務(wù)器時會受到限制

* large_client_header_buffers 表示一些比較大的請求頭使用的緩沖區(qū)數(shù)量和大小，默認一個緩沖區(qū)大小為操作系統(tǒng)中分頁文件大小，通常是4k或8k，請求字段不能大于一個緩沖區(qū)大小，如果客戶端發(fā)送一個比較大的頭，nginx將返回"Request URI too large" (414)，請求的頭部最長字段不能大于一個緩沖區(qū)，否則服務(wù)器將返回"Bad request" (400)

client_body_timeout 10;
client_header_timeout 10;
keepalive_timeout 5 5;
send_timeout 10;

* client_body_timeout： 表示讀取請求body的超時時間，如果連接超過這個時間而客戶端沒有任何響應(yīng)，Nginx將返回"Request time out" (408)錯誤

* client_header_timeout： 表示讀取客戶端請求頭的超時時間，如果連接超過這個時間而客戶端沒有任何響應(yīng)，Nginx將返回"Request time out" (408)錯誤

* keepalive_timeout： 參數(shù)的第一個值表示客戶端與服務(wù)器長連接的超時時間，超過這個時間，服務(wù)器將關(guān)閉連接，可選的第二個參數(shù)參數(shù)表示Response頭中Keep-Alive: timeout=time的time值，這個值可以使一些瀏覽器知道什么時候關(guān)閉連接，以便服務(wù)器不用重復(fù)關(guān)閉，如果不指定這個參數(shù)，nginx不會在應(yīng)Response頭中發(fā)送Keep-Alive信息

* send_timeout： 表示發(fā)送給客戶端應(yīng)答后的超時時間，Timeout是指沒有進入完整established狀態(tài)，只完成了兩次握手，如果超過這個時間客戶端沒有任何響應(yīng)，nginx將關(guān)閉連接

location /images/ {
    valid_referers none blocked www.ops-coffee.cn ops-coffee.cn;
    if ($invalid_referer) {
        return 403;
    }    
}

location /images/ {
    valid_referers blocked www.ops-coffee.cn ops-coffee.cn
    if ($invalid_referer) {
        rewrite ^/images/.*\.(gif|jpg|jpeg|png)$ /static/qrcode.jpg last;
    }
}

if ($request_method !~ ^(GET|POST)$ ) {
return 405;
}

if ($http_user_agent ~* LWP::Simple|BBBike|wget|curl) {
return 444;

}

server {
location / {
auth_basic "please input user&passwd";
auth_basic_user_file key/auth.key;

}

}