Laravel 5.5官方推薦的Nginx配置學習教程

2024-08-30 12:27:28

字體：大中小

來源：轉載

供稿：網友

前言

本文主要給大家介紹了關于Laravel 5.5官方推薦的Nginx配置的想內容，分享出來供大家參考學習，下面話不多說，來一起看看詳細的介紹把。

Laravel 5.5 版本官方放出了 Nginx 服務器的配置，中文文檔：服務器配置 Nginx

server { listen 80; server_name example.com; root /example.com/public; add_header X-Frame-Options "SAMEORIGIN";  add_header X-XSS-Protection "1; mode=block";  add_header X-Content-Type-Options "nosniff";  index index.html index.htm index.php; charset utf-8; location / { try_files $uri $uri/ /index.php?$query_string; } location = /favicon.ico { access_log off; log_not_found off; }  location = /robots.txt { access_log off; log_not_found off; }  error_page 404 /index.php; location ~ /.php$ { fastcgi_split_path_info ^(.+/.php)(/.+)$; fastcgi_pass unix:/var/run/php/php7.1-fpm.sock; fastcgi_index index.php; include fastcgi_params; } location ~ //.(?!well-known).* { deny all; }}

自己并不擅長 Nginx，相信很多朋友跟我一樣，讓我們一起學習下 Nginx 的相關知識 : )

1. add_header X-Frame-Options "SAMEORIGIN";

X-Frame-Options 響應頭是用來給瀏覽器指示允許一個頁面可否在 <frame>, <iframe> 或者 <object> 中展現的標記。網站可以使用此功能，來確保自己網站的內容沒有被嵌到別人的網站中去，也從而避免了點擊劫持 (clickjacking) 的攻擊。

X-Frame-Options 有三個值:

DENY

表示該頁面不允許在 frame 中展示，即便是在相同域名的頁面中嵌套也不允許。
SAMEORIGIN

表示該頁面可以在相同域名頁面的 frame 中展示。
ALLOW-FROM uri

表示該頁面可以在指定來源的 frame 中展示。
該響應頭設置應該比較常見，之前國外客戶的安全團隊有使用工具掃描我們項目的相關漏洞，其中就有這個 clickjacking 的問題，最終也是通過該設置來解決此問題。

2. add_header X-XSS-Protection "1; mode=block";

XSS 是跨站腳本攻擊，是比較常見的網絡攻擊手段，改字段指示瀏覽器是否為當前頁面開啟瀏覽器內建的 XSS 過濾機制。 1 表示允許過濾器，mode=block 指示瀏覽器在檢測到 XSS 攻擊后禁止加載整個頁面。

參考文章：先知XSS挑戰賽知識點提要

3. add_header X-Content-Type-Options "nosniff";