CentOS服务器上的Nginx站点安全运维，很多人把注意力放在WAF、防CC或者HTTPS证书配置上，却忽略了操作系统层和Nginx自身参数带来的隐性风险。实际上多数入侵事件并非来自0day，而是默认配置、错误权限和未收敛的攻击面共同作用的结果。下面直接讲几个关键优化方向和具体操作。

隐藏Nginx版本号与服务器标识

默认情况下，Nginx会在响应头和错误页中暴露版本号，例如“Server: nginx/1.20.1”。攻击者可以针对特定版本查找已知漏洞。在nginx.conf的http块中加入server_tokens off;即可隐藏版本号。如果需要进一步修改Server头，可以重新编译Nginx时使用--build参数，或者通过headers-more-nginx-module模块自定义。对于CentOS的yum安装版本，建议优先使用server_tokens off，这是成本最低且有效的做法。

限制请求方法，阻断非法HTTP动词

很多站点只用到GET、POST和HEAD，但默认Nginx会接受PUT、DELETE、OPTIONS、TRACE等方法。TRACE方法尤其危险，可能被用于跨站追踪攻击。在server或location块中加入以下配置：

if ($request_method !~ ^(GET|HEAD|POST)$ ) {
    return 444;
}

444是Nginx特有的非标准状态码，表示直接关闭连接而不返回任何响应，比403更能迷惑扫描器。对于API接口，可以根据实际需要调整允许的方法列表。

控制缓冲区大小，缓解慢速攻击

慢速HTTP攻击利用极低速率发送请求头或请求体，占用连接资源。Nginx默认的client_header_timeout为60秒，client_body_timeout为60秒，建议调整为10到15秒。同时设置client_header_buffer_size为4k，large_client_header_buffers数量为4、大小为8k，避免异常大的请求头消耗内存。具体配置如下：

client_header_timeout 10;
client_body_timeout 10;
client_header_buffer_size 4k;
large_client_header_buffers 4 8k;
client_max_body_size 20m;

client_max_body_size必须根据业务实际限制，避免攻击者上传超大文件耗尽磁盘或带宽。

限制并发连接数与请求速率

Nginx自带的limit_conn和limit_req模块可以有效地限制单个IP的连接数和请求频率。在http块中定义共享内存区域：

limit_conn_zone $binary_remote_addr zone=conn_perip:10m;
limit_req_zone $binary_remote_addr zone=req_perip:10m rate=20r/s;

在server或location中应用：

limit_conn conn_perip 20;
limit_req zone=req_perip burst=40 nodelay;

rate=20r/s表示每秒允许20个请求，burst=40允许突发40个请求，nodelay表示突发请求立即处理而不排队。对于静态资源可以适当放宽，对于登录、注册等敏感接口应该更严格，比如rate=5r/s。

关闭不必要的目录浏览与隐藏敏感文件

Nginx默认不会列出目录，但如果配置了autoindex on，就会暴露文件结构。务必检查所有location，确保autoindex off。同时禁止访问隐藏文件，例如.git、.svn、.env等：

location ~ /\. {
    deny all;
}

这条规则会拦截所有以点开头的文件和目录，包括常见的配置文件备份。另外，对于日志文件、数据库备份文件、压缩包等，也应该通过location规则禁止访问。

配置安全的TLS协议与加密套件

CentOS默认的OpenSSL版本可能较旧，但仍然可以通过配置禁用不安全的协议和弱加密算法。在server块中设置：

ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305';
ssl_prefer_server_ciphers on;
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 10m;

如果CentOS版本较老不支持TLSv1.3，可以只保留TLSv1.2。同时建议开启OCSP Stapling，减少客户端验证证书的时间，并配置HSTS头强制浏览器使用HTTPS。

设置安全响应头

通过add_header指令为所有响应添加安全相关的HTTP头。常见配置如下：

add_header X-Frame-Options "SAMEORIGIN" always;
add_header X-Content-Type-Options "nosniff" always;
add_header X-XSS-Protection "1; mode=block" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'; style-src 'self' 'unsafe-inline'; img-src 'self' data:; font-src 'self' data:; connect-src 'self';" always;

Content-Security-Policy需要根据站点实际加载的资源进行调整，否则可能导致前端功能异常。建议先在测试环境验证，再逐步收紧策略。

利用Nginx反向代理隔离后端服务

如果Nginx作为反向代理，后端应用服务器不应直接暴露在公网。在Nginx中配置proxy_pass，并限制只允许本地访问后端端口。同时在后端应用监听地址上绑定127.0.0.1，而不是0.0.0.0。这样即使Nginx被绕过，攻击者也无法直接访问后端服务。此外，在代理转发时设置合理的超时时间，避免后端慢响应拖垮Nginx：

proxy_connect_timeout 5;
proxy_send_timeout 30;
proxy_read_timeout 60;
日志审计与实时监控

安全运维不能只靠配置，还需要持续的日志分析。建议开启Nginx的访问日志和错误日志，并定期检查异常请求。可以在log_format中增加$request_time、$upstream_response_time、$http_user_agent、$http_referer等字段，便于分析慢请求和异常来源。对于CentOS系统，可以使用logrotate管理日志轮转，避免磁盘写满。同时，可以配合fail2ban或自定义脚本，对频繁出现404、403或异常请求的IP进行自动封禁。

文件权限与运行用户隔离

Nginx的master进程通常以root运行，但worker进程应该使用非特权用户，例如nginx用户。检查nginx.conf中的user指令，确保不是root。同时，站点目录的权限应严格控制，Web目录建议设置为755，文件设置为644，上传目录禁止执行脚本。对于PHP站点，还要确保PHP-FPM运行用户与Nginx worker用户分离，避免一个服务被攻破后影响另一个服务。

定期更新与漏洞修复

CentOS 7已经停止维护，如果还在使用，建议尽快迁移到CentOS Stream 9或其他受支持的发行版。对于CentOS 8，也需要关注其生命周期。Nginx本身应定期更新到最新稳定版本，特别是涉及安全修复的版本。可以使用yum update nginx或源码编译升级，升级前务必备份配置文件和证书。

使用Nginx模块增强防护

除了基础配置，还可以引入第三方模块提升安全性。例如ngx_http_headers_more_module可以更灵活地修改响应头，ngx_http_geoip2_module可以根据地理位置限制访问，ngx_http_modsecurity_module可以集成ModSecurity规则引擎。但这些模块需要重新编译Nginx，维护成本较高。对于大多数站点，先做好基础配置和日志监控，已经能抵御大部分自动化攻击。

安全优化不是一次性工作，而是持续的过程。每次业务变更、功能上线或系统升级后，都需要重新评估Nginx配置的安全性。建议建立配置变更记录，定期进行安全审计，并保持对异常流量的敏感度。只有把安全融入日常运维流程，才能让CentOS服务器上的Nginx站点真正稳定可靠地运行。