- ubuntu12.04环境下使用kvm ioctl接口实现最简单的虚拟机
- Ubuntu 通过无线网络安装Ubuntu Server启动系统后连接无线网络的方法
- 在Ubuntu上搭建网桥的方法
- ubuntu 虚拟机上网方式及相关配置详解
CFSDN坚持开源创造价值,我们致力于搭建一个资源共享平台,让每一个IT人在这里找到属于你的精彩世界.
这篇CFSDN的博客文章Nginx配置指令location匹配符优先级和安全问题由作者收集整理,如果你对这篇文章有兴趣,记得点赞哟.
最近一直在做location 配置,遇到优先级别问题(如果配置不当可能存在安全隐患哦),以下是个人学习一点体会.
1、 location 的匹配符 1.等于匹配符:= 等于匹配符就是等号,特点可以概括为两点: 精确匹配 不支持正则表达式 2.空匹配符 空匹配符的特点是: 匹配以指定模式开始的 URI 不支持正则表达式 3.正则匹配符:~ 正则匹配符是可以使用正则表达式的匹配符。不过这里要强调的是,一般来说~是指: 区分大小写的正则匹配 而~*表示: 不区分大小写的正则匹配 但是对于一些对大小写不敏感的操作系统,这两者没有区别。另外一个就是^~,其表示以指定模式开始的正则匹配.
4.内部访问符:@ 一般用于错误页面等,这个暂不讨论.
2、匹配符优先级 1.= 2.空匹配符,满足精确匹配时 3.^~ 4.~或~* 5.空匹配符,满足以指定模式开始时的匹配时 这样说比较抽象,我们来看例子吧.
2.1 等于匹配符与精确匹配时的空匹配符 。
看下面的例子(用到我们此前一起完成的Hello World模块):
location /poechant { hello_world no1; } 。
。
location = /poechant { hello_world no2; } 。
如果我们的请求是http://my.domian/poechant,则我们发现两个location都与请求的 URI 匹配,这时根据我们的优先级顺序,第一个是精确匹配时的空匹配符,第二个是等于匹配符,所以第二个的优先级高,也就是应该输出:
。
hello_world, no2 同时也说明 Nginx 的 locatoin 不是按照配置文件中的书写顺序来匹配的.
2.2 精确匹配时的空匹配符与正则匹配的^~ 。
下面这个例子中,两者开始都精确匹配了,连这个正则匹配都是精确匹配.
location ^~ ^/poechant$ { hello_world no1; } 。
。
location /poechant { hello_world no2; } 。
匹配哪一个?你测试一下,会得到:
。
hello_world, no2 与我们上面说的优先级顺序相吻合。 2.3 其他匹配优先级比较的实例 略 。
3、实战经验总结 。
1.location 匹配的优先级(来自实践总结中) (location =) > (location 完整路径 >) >(location ^~ 路径) >(location ~* 正则) >(location 路径) 只要匹配到,其它的都会忽略,然后返回到改匹配。 用以下例子来测试:
。
。
说明:测试的时候,先要将#2全部注释掉,不然会认为#2 与#4 完全一样。会提示:重复配置,提示如下 。
。
浏览测试:每次都是访问:http://localhost:9999/a/1.jpg (在windows 安装测试,然后端口是9999) 文件a/1.jpg 根本不存在。关键是测试看页面返回情况.
a.用上面的配置请求后的结果 。
。
从测试中可以看到,优先级最高的是:= 号。 它会最先匹配到。 b.接下来我们 屏蔽掉 #6 如下:
。
然后重载配置:D:\nginx-0.8.7> nginx -s reload 并访问:http://localhost:9999/a/1.jpg ,返回以下结果: 。
。
结论:从这个测试发现,没有“=”情况下,location 后面直接接完整路径是优先匹配。 通过测试发现,如果将:location/a/1.jpg 改成:location /a/1\.jpg 会出现意外情况,直接出现是:return 402. 从这一点,可以推测到nginx 匹配优先是:网站路径,并且不带正则表达式的优先.
c.同理测试 屏蔽掉 #5 如下:注释及重新加载同上. 访问:http://localhost:9999/a/1.jpg 返回如下结果.
。
结论:通过这个测试可以得出:location ^~ 优先级 高于 location ~* 优先级 ,其中:^~ 主要后面接路径.
c.同理测试 屏蔽掉 #4 如下:注释及重新加载同上. 访问:http://localhost:9999/a/1.jpg 返回如下结果.
结论:从以上比较得到,正则优先 未带任何匹配符的路径匹配 。
。
d.同理测试 屏蔽掉 #3 如下:注释及重新加载同上. 并且去掉#2 的注释“#” 访问:http://localhost:9999/a/1.jpg 返回如下结果.
结论:比较有意思是:/a/ 与 / 应该是 同种类型的匹配表达式, 可以从中得到,该匹配顺序是,将路径从右匹配, 可以推测形如逐个字符,那个先匹配到,就是那个优先。 因此得到是:/a/ 优先于 / . 。
。
以上测试,是我测试结果,优先级别以以上规律。 在实际我们书写中,经常会犯错误。 还记得前段时间:80后安全团队曝nginx漏洞 其实,个人认为不能算是nginx 漏洞,只是,我们不了解nginx 配制规则,而出现一个配置上面致命漏洞而已。 其实,通过上面优先级,我们在配置时候可能也一样经常犯一个致命错误.
#以下是随便写例子,个人可能各不相同 #假设站点在:/home/www/html/目录下,所有的php 及上传文件都在这个目录下面。 location ~* \.php$ { proxy_pass http://www.a.com; } 。
。
location /upload/ { alias /home/www/html/upload/; } 。
。
而且,这个upload 目录,是静态目录,我们想法是下面所有文件是不能够执行的,包括php文件。 如果有用户访问:http://www.a.com/upload/1.css , 会直接显示该css, 但是,如果有用户访问:http://www.a.com/upload/1.php 类似文件,正如上面所说,实际匹配到:~* \.php$ 了。 upload 下面是执行了。 从这个里面,我们发现一个问题,实际没有达到我们要求。 静态目录下面的文件一样执行了。 这下比较麻烦了。 一旦出现个什么上存漏洞的,别人上存了一个php,我们还以为,我们配置是ok的。 觉得很安全,缺在不知不觉中被别人打开一扇门.
那么我们怎么样修改呢?
。
。
对,就是必须用:"^~" ,这样是不是就已经安全了呢。 如果你再访问下:http://www.a.com/upload/1.php 你会发现,这段代码源码显示出来了。 这个其实对于我们而言也是不想见到了。 一段显示源码,在各个搜索引擎,很容易通过所有特殊关键字,搜索到改文件的。 那么我们该怎么样配置安全的上存目录呢? 对,你想到了:限制允许的特殊文件类型.
location ~* \.php$ { proxy_pass http://www.a.com; } 。
。
location ^~ /upload/ { if ($request_filename ! ~* \.(jpg|jpeg|gif|png|swf|zip|rar|txt)$) { return 403; } alias /home/www/html/upload/; } 。
。
只要不是满足上面扩展名文件,就自动提示:403 不能访问,有可以避免源代码显示。 刚才从匹配结果已经知道了,同级不带任何匹配符的,是以右为准匹配。 那么,如果都用正则表达式,以什么方式匹配呢? 测试如下:(新建配置文件,server 包含) 。
location ~* \.jpg$ { return 402; } 。
。
location ~* 1\.jpg$ { return 403; } 。
。
结果如下:
。
。
看来是返回的是:402 上面一个呢。 按理论说,1.jpg 配置 比 .jpg 更准确,看来跟上面说的顺序不同,那它会不会是那个在前以那个匹配呢? 我们再测试下:
location ~* 1\.jpg$ { return 403; } 。
。
location ~* \.jpg$ { return 402; } 。
。
返回结果是:
。
。
哈哈,恰好相反,看来我的推断是正确的,如果都是正则,都能够匹配,以配置文件出现顺序来,谁在前谁优先。 一口气说了,不知道朋友你,明白我的思路吗?这样的比较会很多很多,大家可以逐一测试。 熟悉location 配置,对于熟练运用nginx 是一个必备基础。 因为nginx 太灵活,也太流行了。上面的问题,也许朋友你,会遇到。希望对你有帮助.
最后此篇关于Nginx配置指令location匹配符优先级和安全问题的文章就讲到这里了,如果你想了解更多关于Nginx配置指令location匹配符优先级和安全问题的内容请搜索CFSDN的文章或继续浏览相关文章,希望大家以后支持我的博客! 。
我是一名优秀的程序员,十分优秀!