咱就是说咱要让 Nginx 这个网关，像个老朋友一样，把所有可恶的攻击dou给挡住。这可不是一件容易的事儿，需要咱们好好想想，好好配置。别想着一劳永逸，安全可不是啥一劳永逸的事情，得一直维护。

访问控制：先管好谁Neng进来

咱们得kankan谁Neng通过网关。不Neng让随便哪个人dou瞎来瞎去。这儿就涉及到访问控制了。

基于 IP 的访问限制

简单来说就是根据 IP 地址来限制访问。咱们Ke以设置哪些 IP Ke以进来哪些不行。这就像门卫一样，只让有资格的人进门。

不过呢，要小心啊！hen多人会用一些方法绕过这些限制的。所以咱们得Zuo好准备。

基于用户认证的访问控制

geng厉害的是咱们还Ke以要求用户先认证一下身份。这样一来就算黑客用个假的 IP 地址来冒充别人也行吗？不太可Neng吧？

这个方法比较复杂一点点儿，需要咱们配置一些认证系统。

防止 DDoS 攻击：别被轰炸

DDoS 攻击就像是一群人一起把你家的店门口堵住一样，让正常的顾客dou进不去。这可不是闹着玩的！

Nginx 可是个不错的帮手啊！它Ke以限制请求的速度、连接的数量等等，有效防御这种攻击。

连接数限制

`limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s;` 这个配置的意思是：每秒钟允许单个 IP 地址发送Zui多 10 个请求。Ru果超过了这个限制，就直接返回错误页面。

`location ~ \\.php$ { limit_req zone=one burst=5 nodelay; }` 这个配置针对 .php 文件进行限制。Ru果超过了 `one` 区域的速率限制，则在 5 秒内允许发送Zui多 5 个请求，并且不延迟响应。

server { listen ; server_name bj985.com www.bj985.com; # 安全规则 limit_req zone=req_limit burst= nodelay; if $) { return ; } # 只拦截危险脚本，不拦图片 location ~* \.$ { deny all; return ; } # 拦截指定关键字 location ~* { deny all; return ; } # 主页面转发 location / { proxy_pass http://.:; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; # 自动跳转 PC / 手机 set $is_mobile ; if ) { set $is_mobile ; } if { rewrite ^/$ /personalpc break; } if { rewrite ^/$ /personal2 break; } } location ^~ /api { rewrite ^/api/$ /$ break; proxy\_pass http://.:; proxy\_set\_header Host $host; proxy\_set\_header X-Real-IP $remote\_addr; proxy\_set\_header X-Forwarded-For $proxy\_add\_x\_forwarded\_for;} } 防 SQL 注入和 XSS 攻击：别被坑

SQL 注入和 XSS 攻击就像是黑客偷偷地溜进你的后台系统一样可怕。咱们得Zuo好防护措施。

输入验证与过滤

不管你从哪里获取数据——无论是用户提交的表单还是其他地方的数据——dou要仔细检查一下它是不是符合你的预期格式。Ru果格式不对那就直接拒绝它。

我曾经Zuo过一个网站的数据管理系统。 当时我发现后台经常有莫名其妙的请求出现。 一开始我以为是系统出了问题。 后来我发现这些请求dou是来自用户的数据库查询。 原来是用户在输入的时候偷偷地把恶意代码注入到 SQL 查询语句里。 导致我的数据库被篡改了。 那之后我就加强了对用户输入数据的验证和过滤。 再也不怕这些恶意代码了。

r := gin.Newr.Run// 或者r.Run

完全隐藏后端服务：别暴露 完全隐藏后端服务

咱就是说咱的后端服务不要直接对外提供服务就行了。 比如我的服务跑在8088端口,使用IP:8088完全访问不了后台任务接口,所有服务必须经过 Nginx 转发,Ru果你的 Gin 服务是这样写的:

r := gin.Newr.Run// 或者r.Run

r := gin.Newr.Run// 或者r.Run

安全第一

访问控制先管好谁Neng进来

防止 DDoS别被轰炸

防 SQL 注入和XSS攻击：别被坑

完全隐藏后端服务别暴露

---