Nginx下禁止访问特定的目录或文件

分类:CentOS运维 阅读:80462 次

出于安全考虑,在apache上经常需要做规则限制,禁止访问某些目录。但是假如别要知道该目录下某些文件名,还是可以访问这些文件的。如,禁止了test目录的访问,打开http://www.domain.com/test/时访问会报403错误。不过如果该test下有passwd.txt文件,访问http://www.domain.com/test/passwd.txt,还是可以获取该文件里的信息。在nginx上配置后也有同样的问题 。所以可能还会需要再另作文件类型控制 。

apache进行相关限制的做法如下:

1、 禁止访问某些文件/目录

增加Files选项来控制,比如要不允许访问 .inc 扩展名的文件,保护php类库:

<Files ~ "\.inc$"> Order allow,deny Deny from all </Files>

禁止访问某些指定的目录:(可以用来进行正则匹配)

<Directory ~ "^/var/www/(.+/)*[0-9]{3}"> Order allow,deny Deny from all </Directory>

通过文件匹配来进行禁止,比如禁止所有针对图片的访问:

<FilesMatch \.(?i:gif|jpe?g|png)$> Order allow,deny Deny from all </FilesMatch>

针对URL相对路径的禁止访问:

<Location /dir/> Order allow,deny Deny from all </Location>

针对代理方式禁止对某些目标的访问(可以用来正则匹配),比如拒绝通过代理访问361way.com:

<Proxy http://www.361way.com/*> Order allow,deny Deny from all </Proxy>

2. 禁止某些IP访问/只允许某些IP访问

如果要控制禁止某些非法IP访问,在Directory选项控制:

<Directory "/var/www/web/"> Order allow,deny Allow from all Deny from 10.0.0.1 #阻止一个IP Deny from 192.168.0.0/24 #阻止一个IP段 </Directory>

只允许某些IP访问,适合比如就允许内部或者合作公司访问:

<Directory "/var/www/web/"> Order deny,allow Deny from all All from example.com #允许某个域名 All from 10.0.0.1 #允许一个iP All from 10.0.0.1 10.0.0.2 #允许多个iP Allow from 10.1.0.0/255.255.0.0 #允许一个IP段,掩码对 All from 10.0.1 192.168 #允许一个IP段,后面不填写 All from 192.168.0.0/24 #允许一个IP段,网络号 </Directory>

注:IP访问控制也适用于proxy内,如:

<proxy http://localhost:9171/wiki > Order Deny,Allow Deny from all Allow from 115.236.174.160/29 Allow from 115.236.182.248/29 Allow from 122.224.240.152/29 Allow from 119.37.194.32/28 </proxy>

回到最初的问题,apache下的解决方法如下:

<Directory "/home/domain/public_html"> Options -Indexes FollowSymLinks AllowOverride All <Files ~ ".txt"> Order allow,deny Deny from all </Files> </Directory>

nginx下的解决方法如下:

 location ~* \.(txt|doc)$ { if (-f $request_filename) { root /home/domain/public_html/test; break; } }