NGINX最常用的指令（最全的查询）

本是古典何须时尚 2024-03-31 16:22 91阅读 0赞

**服务管理**

sudo systemctl status nginx \# nginx当前状态

sudo systemctl reload nginx \# 重新加载 nginx

sudo systemctl restart nginx \# 重启nginx

sudo nginx -t \# 检查语法

nginx \# 启动

nginx -s reload \# 重启

nginx -s stop \# 关闭进程

nginx -s quit \# 平滑关闭nginx

nginx -V \# 查看nginx的安装状态，

**Docker** **安装**

docker run --name some-nginx -v /some/content:/usr/share/nginx/html:ro -d nginx

**简单代理**

location / \{

proxy\_pass http://127.0.0.1:3000;

proxy\_redirect off;

proxy\_set\_header Host $host;

**全局变量**

<table> 
 <tbody> 
 <tr> 
 <td style="border-color:#e8e8e8;vertical-align:top;"> $args </td> 
 <td style="border-color:#e8e8e8;vertical-align:top;"> 这个变量等于请求行中的参数，同 $query_string </td> 
 </tr> 
 <tr> 
 <td style="border-color:#e8e8e8;vertical-align:top;"> $remote_port </td> 
 <td style="vertical-align:top;"> 客户端的端口 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#e8e8e8;vertical-align:top;"> $content_length </td> 
 <td style="vertical-align:top;"> 请求头中的 Content-length 字段 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#e8e8e8;vertical-align:top;"> $remote_user </td> 
 <td style="vertical-align:top;"> 已经经过 Auth Basic Module 验证的用户名 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#e8e8e8;vertical-align:top;"> $content_type </td> 
 <td style="vertical-align:top;"> 请求头中的 Content-Type 字段 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#e8e8e8;vertical-align:top;"> $request_filename </td> 
 <td style="vertical-align:top;"> 当前请求的文件路径，由 root 或alias指令与URI请求生成 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#e8e8e8;vertical-align:top;"> $document_root </td> 
 <td style="vertical-align:top;"> 当前请求在 root 指令中指定的值 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#e8e8e8;vertical-align:top;"> $scheme </td> 
 <td style="vertical-align:top;"> HTTP方法（如http，https） </td> 
 </tr> 
 <tr> 
 <td style="border-color:#e8e8e8;vertical-align:top;"> $host </td> 
 <td style="vertical-align:top;"> 请求主机头字段，否则为服务器名称 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#e8e8e8;vertical-align:top;"> $hostname </td> 
 <td style="vertical-align:top;"> 主机名 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#e8e8e8;vertical-align:top;"> $http_user_agent </td> 
 <td style="vertical-align:top;"> 客户端agent信息 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#e8e8e8;vertical-align:top;"> $http_cookie </td> 
 <td style="vertical-align:top;"> 客户端cookie信息 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#e8e8e8;vertical-align:top;"> $server_protocol </td> 
 <td style="vertical-align:top;"> 请求使用的协议，通常是HTTP/1.0或HTTP/1.1 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#e8e8e8;vertical-align:top;"> $server_addr </td> 
 <td style="vertical-align:top;"> 服务器地址，在完成一次系统调用后可以确定这个值 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#e8e8e8;vertical-align:top;"> $server_name </td> 
 <td style="vertical-align:top;"> 服务器名称 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#e8e8e8;vertical-align:top;"> $server_port </td> 
 <td style="vertical-align:top;"> 请求到达服务器的端口号 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#e8e8e8;vertical-align:top;"> $limit_rate </td> 
 <td style="vertical-align:top;"> 这个变量可以限制连接速率 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#e8e8e8;vertical-align:top;"> $request_method </td> 
 <td style="vertical-align:top;"> 客户端请求的动作，如 GET/POST </td> 
 </tr> 
 <tr> 
 <td style="border-color:#e8e8e8;vertical-align:top;"> $request_uri </td> 
 <td style="vertical-align:top;"> 包含请求参数的原始URI，不包含主机名，如：/foo/bar.php?arg=baz </td> 
 </tr> 
 <tr> 
 <td style="border-color:#e8e8e8;vertical-align:top;"> $remote_addr </td> 
 <td style="vertical-align:top;"> 客户端的IP地址 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#e8e8e8;vertical-align:top;"> $uri </td> 
 <td style="vertical-align:top;"> 不带请求参数的当前URI，$uri不包含主机名，如 /foo/bar.html </td> 
 </tr> 
 <tr> 
 <td style="border-color:#e8e8e8;vertical-align:top;"> $document_uri </td> 
 <td style="vertical-align:top;"> 与 $uri 相同 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#e8e8e8;vertical-align:top;"> $nginx_version </td> 
 <td style="vertical-align:top;"> nginx 版本 </td> 
 </tr> 
 </tbody> 
</table>

更多全局变量查看官方文档

**监听端口**

server \{

listen 80; \# 标准 HTTP 协议

listen 443 ssl; \# 标准 HTTPS 协议

listen 443 ssl http2; \# 对于 http2

listen \[::\]:80; \# 使用 IPv6 在 80 上收听

\# 仅收听使用 IPv6

listen \[::\]:80 ipv6only=on;

**域名 (server\_name)**

server \{

\# 监听 example.com

server\_name example.com;

\# 监听多个域

server\_name example.com www.example.com;

\# 监听所有子域

server\_name \*.example.com;

\# 监听所有顶级域

server\_name example.\*;

\# 监听未指定的主机名（监听 IP 地址本身）

server\_name "";

**负载均衡(简单实例)**

upstream node\_js \{

server 0.0.0.0:3000;

server 0.0.0.0:4000;

server 127.155.142.421;

**负载均衡(权重)**

upstream test \{

server localhost:8080 weight=9;

server localhost:8081 weight=1;

**upstream ip\_hash**

upstream test \{

ip\_hash;

server localhost:8080;

server localhost:8081;

解决负载均衡 session 的问题

**upstream fair**

upstream backend \{

fair;

server localhost:8080;

server localhost:8081;

响应时间短的优先分配

**server** **可选参数**

<table> 
 <tbody> 
 <tr> 
 <td style="border-color:#e8e8e8;vertical-align:top;"> weight </td> 
 <td style="border-color:#e8e8e8;vertical-align:top;"> 访问权重数值越高，收到请求越多 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#e8e8e8;vertical-align:top;"> fail_timeout </td> 
 <td style="vertical-align:top;"> 指定的时间内必须提供响应 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#e8e8e8;vertical-align:top;"> max_fails </td> 
 <td style="vertical-align:top;"> 尝试失败服务器连接的最大次数 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#e8e8e8;vertical-align:top;"> down </td> 
 <td style="vertical-align:top;"> 标记一个服务器不再接受任何请求 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#e8e8e8;vertical-align:top;"> backup </td> 
 <td style="vertical-align:top;"> 有服务器宕机，标记的机器接收请求 </td> 
 </tr> 
 </tbody> 
</table>

配置示例

upstream test \{

server 127.0.0.1:83 weight=9; \# 权重

server 127.0.0.1:83 weight=1; \# 权重

\# 失败超时时间

server 127.0.0.1:83 max\_fails=3;

server 127.0.0.1:83 weight=3 down;

**upstream url\_hash**

upstream backend \{

hash $request\_uri;

hash\_method crc32;

server localhost:8080;

server localhost:8081;

按访问url的hash结果来分配请求

**upstream keepalive**

upstream memcached\_backend \{

server 127.0.0.1:11211;

server 10.0.0.2:11211;

keepalive 32;

激活缓存以连接到上游服务器

**子文件夹中的代理**

location /folder/ \{ \# / 很重要！

proxy\_pass http://127.0.0.1:3000/; \# / 很重要！

proxy\_redirect off;

proxy\_set\_header Host $host;

proxy\_set\_header X-Real-IP $remote\_addr;

proxy\_set\_header X-Forwarded-For $proxy\_add\_x\_forwarded\_for;

**反向代理**

**基础**

server \{

listen 80;

server\_name example.com;

location / \{

proxy\_pass http://0.0.0.0:3000;

\# 其中 0.0.0.0:3000 是绑定在

\# 0.0.0.0端口3000 列表上的 Node.js 服务器

**基础 + (upstream)**

upstream node\_js \{

server 0.0.0.0:3000;

\# 其中 0.0.0.0:3000 是绑定在

\# 0.0.0.0端口3000 列表上的 Node.js 服务器

server \{

listen 80;

server\_name example.com;

location / \{

proxy\_pass http://node\_js;

**升级连接（适用于支持 WebSockets 的应用程序）**

upstream node\_js \{

server 0.0.0.0:3000;

server \{

listen 80;

server\_name example.com;

location / \{

proxy\_pass http://node\_js;

proxy\_redirect off;

proxy\_http\_version 1.1;

proxy\_set\_header Upgrade $http\_upgrade;

proxy\_set\_header Connection "upgrade";

proxy\_set\_header Host $host;

适用于 Node.js、Streamlit、Jupyter 等

**静态资源（传统 Web 服务器）**

server \{

listen 80;

server\_name example.com;

root /path/to/website;

\# root /www/data/ 示例，如果里面没有'root'，它将寻找 /www/data/index.html

location / \{

location /images/ \{ \# 如果里面没有“root”，它将寻找 /www/data/images/index.html

location /videos/ \{ \# 由于里面有“root”，它会寻找 /www/media/videos/index.html

root /www/media;

**HTTPS** **协议**

大多数 SSL 选项取决于您的应用程序做什么或需要什么

server \{

listen 443 ssl http2;

server\_name example.com;

ssl on;

ssl\_certificate /path/to/cert.pem;

ssl\_certificate\_key /path/to/privkey.pem;

ssl\_stapling on;

ssl\_stapling\_verify on;

ssl\_trusted\_certificate /path/to/fullchain.pem;

ssl\_protocols TLSv1 TLSv1.1 TLSv1.2;

ssl\_session\_timeout 1d;

ssl\_session\_cache shared:SSL:50m;

add\_header Strict-Transport-Security max-age=15768000;

您可以使用 Let's Encrypt 轻松保护您的网站/应用程序。去 lets-encrypt 获取更多信息

**重定向(301永久)**

将 www.example.com 重定向到 example.com

server \{

listen 80;

server\_name www.example.com;

return 301 http://example.com$request\_uri;

将 http 重定向到 https

server \{

listen 80;

server\_name example.com;

return 301 https://example.com$request\_uri;

**重定向(302临时)**

server \{

listen 80;

server\_name yourdomain.com;

return 302 http://otherdomain.com;

**永久重定向到 HTTPS 安全域**

server \{

listen 80;

server\_name yourdomain.com;

return 301 https://$host$request\_uri;

**重定向参数**

<table> 
 <tbody> 
 <tr> 
 <td style="border-color:#e8e8e8;vertical-align:top;"> permanent </td> 
 <td style="border-color:#e8e8e8;vertical-align:top;"> 永久性重定向。日志中的状态码为 301 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#e8e8e8;vertical-align:top;"> redirect </td> 
 <td style="vertical-align:top;"> 临时重定向。日志中的状态码为 302 </td> 
 </tr> 
 </tbody> 
</table>

**HTTP** **请求端真实的IP**

location / \{

proxy\_set\_header X-Forwarded-For $remote\_addr;

**示例**

**websocket** **的代理 keepalive**

\# Upstreams

upstream backend \{

server 127.0.0.1:3000;

keepalive 5;

\# HTTP Server

server \{

server\_name your\_hostname.com;

error\_log /var/log/nginx/rocketchat.access.log;

location / \{

proxy\_pass http://backend;

proxy\_http\_version 1.1;

proxy\_set\_header Upgrade $http\_upgrade;

proxy\_set\_header Connection "upgrade";

proxy\_set\_header Host $http\_host;

proxy\_set\_header X-Real-IP $remote\_addr;

proxy\_set\_header X-Forward-For $proxy\_add\_x\_forwarded\_for;

proxy\_set\_header X-Forward-Proto http;

proxy\_set\_header X-Nginx-Proxy true;

proxy\_redirect off;

**Apache** **的反向代理**

server \{

server\_name domain.tld;

access\_log /log/domain.tld.access.log;

error\_log /log/domain.tld.error.log;

root /var/www/domain.tld/htdocs;

\# 将请求传递给 Apache 后端

location / \{

proxy\_pass http://backend;

\# 使用后备处理静态文件

location ~\* \\.(ogg|ogv|svg|svgz|eot|otf|woff|woff2|ttf|m4a|mp4|ttf|rss|atom|jpe?g|gif|cur|heic|png|tiff|ico|zip|webm|mp3|aac|tgz|gz|rar|bz2|doc|xls|exe|ppt|tar|mid|midi|wav|bmp|rtf|swf|webp)$ \{

add\_header "Access-Control-Allow-Origin" "\*";

access\_log off;

log\_not\_found off;

expires max;

try\_files $uri @fallback;

\# 如果找不到文件，则回退以将请求传递给 Apache

location @fallback \{

proxy\_pass http://backend;

**Gitlab** **的反向代理**

server \{

\#侦听的80端口

listen 80;

server\_name git.example.cn;

location / \{

proxy\_pass http://localhost:3000;

\# 以下是一些反向代理的配置可删除

proxy\_redirect off;

\# 后端的Web服务器可以通过X-Forwarded-For获取用户真实IP

proxy\_set\_header Host $host;

client\_max\_body\_size 10m; \# 允许客户端请求的最大单文件字节数

client\_body\_buffer\_size 128k; \# 缓冲区代理缓冲用户端请求的最大字节数

proxy\_connect\_timeout 300; \# nginx跟后端服务器连接超时时间(代理连接超时)

proxy\_send\_timeout 300; \# 后端服务器数据回传时间(代理发送超时)

proxy\_read\_timeout 300; \# 连接成功后，后端服务器响应时间(代理接收超时)

\# 设置代理服务器（nginx）保存用户头信息的缓冲区大小

proxy\_buffer\_size 4k;

\# proxy\_buffers缓冲区，网页平均在32k以下的话，这样设置

proxy\_buffers 4 32k;

\# 高负荷下缓冲大小（proxy\_buffers\*2）

proxy\_busy\_buffers\_size 64k;

**重定向整个网站**

server \{

server\_name old-site.com;

return 301 $scheme://new-site.com$request\_uri;

**重定向单页**

server \{

location = /oldpage.html \{

return 301 http://example.org/newpage.html;

**重定向整个子路径**

location /old-site \{

rewrite ^/old-site/(.\*) http://example.org/new-site/$1 permanent;

**负载均衡**

upstream example \{

ip\_hash;

\# upstream的负载均衡，weight是权重，可以根据机器配置定义权重。

\# weigth参数表示权值，权值越高被分配到的几率越大。

server 192.168.122.11:8081 ;

server 127.0.0.1:82 weight=3;

server 127.0.0.1:83 weight=3 down;

server 127.0.0.1:84 weight=3; max\_fails=3 fail\_timeout=20s;

server 127.0.0.1:85 weight=4;;

keepalive 32;

server \{

\#侦听的80端口

listen 80;

server\_name git.example.cn;

location / \{

\# 在这里设置一个代理，和 upstream 的名字一样

proxy\_pass http://example;

**内容缓存**

允许浏览器基本上永久地缓存静态内容。 Nginx 将为您设置 Expires 和 Cache-Control 头信息

location /static \{

root /data;

expires max;

如果要求浏览器永远不会缓存响应（例如用于跟踪请求），请使用 -1

location = /empty.gif \{

empty\_gif;

expires \-1;

**跨域问题**

server \{

listen 80;

server\_name api.xxx.com;

add\_header 'Access-Control-Allow-Origin' '\*';

add\_header 'Access-Control-Allow-Credentials' 'true';

add\_header 'Access-Control-Allow-Methods' 'GET,POST,HEAD';

location / \{

proxy\_pass http://127.0.0.1:3000;

proxy\_set\_header X-Real-IP $remote\_addr;

proxy\_set\_header X-Forwarded-For $proxy\_add\_x\_forwarded\_for;

proxy\_set\_header Host $http\_host;

**重定向 URI 来解决跨域问题**

upstream test \{

server 127.0.0.1:8080;

server localhost:8081;

server \{

listen 80;

server\_name api.xxx.com;

location / \{

root html; \# 去请求../html文件夹里的文件

index index.html index.htm; \# 首页响应地址

\# 用于拦截请求，匹配任何以 /api/开头的地址，

\# 匹配符合以后，停止往下搜索正则。

location ^~/api/\{

\# 代表重写拦截进来的请求，并且只能对域名后边的除去传递的参数外的字符串起作用

\# 例如www.a.com/api/msg?meth=1&par=2重写，只对/api/msg重写。

\# rewrite后面的参数是一个简单的正则 ^/api/(.\*)$，

\# $1代表正则中的第一个()，$2代表第二个()的值，以此类推。

rewrite ^/api/(.\*)$ /$1 break;

\# 把请求代理到其他主机

\# 其中 http://www.b.com/ 写法和 http://www.b.com写法的区别如下

\# 如果你的请求地址是他 http://server/html/test.jsp

\# 配置一： http://www.b.com/ 后面有“/”

\# 将反向代理成 http://www.b.com/html/test.jsp 访问

\# 配置一： http://www.b.com 后面没有有“/”

\# 将反向代理成 http://www.b.com/test.jsp 访问

proxy\_pass http://test;

\# 如果 proxy\_pass URL 是 http://a.xx.com/platform/ 这种情况

\# proxy\_cookie\_path应该设置成 /platform/ / (注意两个斜杠之间有空格)。

proxy\_cookie\_path /platfrom/ /;

\# 设置 Cookie 头通过

proxy\_pass\_header Set-Cookie;

**跳转到带 www 的域上面**

server \{

listen 80;

\# 配置正常的带www的域名

server\_name www.wangchujiang.com;

root /home/www/wabg/download;

location / \{

try\_files $uri $uri/ /index.html =404;

server \{

\# 将不带 www 的 wangchujiang.com

\# 永久性重定向到 https://www.wangchujiang.com

server\_name wangchujiang.com;

rewrite ^(.\*) https://www.wangchujiang.com$1 permanent;

**代理转发**

upstream server-api \{

\# api 代理服务地址

server 127.0.0.1:3110;

upstream server-resource \{

\# 静态资源 代理服务地址

server 127.0.0.1:3120;

server \{

listen 3111;

server\_name localhost; \# 这里指定域名

root /home/www/server-statics;

\# 匹配 api 路由的反向代理到API服务

location ^~/api/ \{

rewrite ^/(.\*)$ /$1 break;

proxy\_pass http://server-api;

\# 假设这里验证码也在API服务中

location ^~/captcha \{

rewrite ^/(.\*)$ /$1 break;

proxy\_pass http://server-api;

\# 假设你的图片资源全部在另外一个服务上面

location ^~/img/ \{

rewrite ^/(.\*)$ /$1 break;

proxy\_pass http://server-resource;

\# 路由在前端，后端没有真实路由，

\# 路由不存在的 404 状态的页面返回 /index.html

\# 使用场景，用在 React/Vue项目没有真实路由

location / \{

try\_files $uri $uri/ /index.html =404;

\# 空格很重要 ^

**屏蔽 IP**

可以放到 http, server, location, limit\_except 语句块

include blockip.conf;

在 blockip.conf 里面输入内容，如：

deny 165.91.122.67;

deny IP; \# 屏蔽单个 ip 访问

allow IP; \# 允许单个 ip 访问

deny all; \# 屏蔽所有 ip 访问

allow all; \# 允许所有 ip 访问

deny 123.0.0.0/8; \# 屏蔽整个段即从 123.0.0.1 到 123.255.255.254 访问的命令

deny 124.45.0.0/16; \# 屏蔽IP段即从 123.45.0.1 到 123.45.255.254 访问的命令

deny 123.45.6.0/24; \# 屏蔽IP段即从 123.45.6.1 到 123.45.6.254 访问的命令

\# 如果你想实现这样的应用，除了几个IP外，其他全部拒绝

allow 1.1.1.1;

allow 1.1.1.2;

deny all;

**强制将 http 重定向到 https**

server \{

listen 80;

server\_name example.com;

rewrite ^ https://$http\_host$request\_uri? permanent; \# 强制将 http 重定向到 https

\# 在错误页面和“服务器”响应头字段中启用或禁用发射nginx版本。 防止黑客利用版本漏洞攻击

server\_tokens off;

**代理转发连接替换**

location ^~/api/upload \{

rewrite ^/(.\*)$ /wfs/v1/upload break;

proxy\_pass http://wfs-api;

将地址 /api/upload 替换为 /wfs/v1/upload

**爬虫 User-Agent 过滤**

location / \{

if ($http\_user\_agent ~\* "python|curl|java|wget|httpclient|okhttp") \{

return 503;

\# 正常处理

\# ...

**图片防盗链**

location ~\* \\.(gif|jpg|png|swf|flv)$ \{

root html;

valid\_referers none blocked \*.nginx.com;

if ($invalid\_referer) \{

rewrite ^/ www.nginx.cn;

\# return 404;

**虚拟目录配置**

location /img/ \{

alias /var/www/image/;

\# 访问 /img/ 目录里面的文件时，

\# 会自动去 /var/www/image/ 目录找文件

location /img/ \{

root /var/www/image;

\# 访问 /img/ 目录下的文件时，

\# 会去 /var/www/image/img/ 目录下找文件

**屏蔽文件目录**

通用备份和归档文件

location ~\* "\\.(old|orig|original|php\#|php~|php\_bak|save|swo|aspx?|tpl|sh|bash|bak?|cfg|cgi|dll|exe|git|hg|ini|jsp|log|mdb|out|sql|svn|swp|tar|rdf)$" \{

deny all;

拒绝访问 .git 和 .svn 目录

location ~ (.git|.svn) \{

deny all;

拒绝访问隐藏文件和目录

location ~ /\\.(?!well-known\\/) \{

deny all;

**防盗图配置**

location ~ \\/public\\/(css|js|img)\\/.\*\\.(js|css|gif|jpg|jpeg|png|bmp|swf) \{

valid\_referers none blocked \*.jslite.io;

if ($invalid\_referer) \{

rewrite ^/ http://wangchujiang.com/piratesp.png;