Início / server / Perguntas / 1075894
Accepted
suchislife
Asked: 2021-08-29 05:42:55 +0800 CST

Ignorando todos e quaisquer parâmetros de URL para fortalecer a segurança. Como?

  • 772

Qualquer um que colocar um servidor NGINX online e olhar para ele access.loguma semana depois encontrará muitas tentativas de exploração de URL. Todos os dias, a qualquer hora.

E daí que eu rejeitasse todo e qualquer parâmetro de URL. E se cada string de consulta fosse mascarada com um NGINX rewriteque não corresponderia a qualquer coisa não definida como um rewriteretorno natural de 404 Not Found?

Ou uma série de reescritas em ordem colocadas dentro desse bloco de localização sempre presente?

location / {
  rewrite "^/api/v1/users/?$" /api/v1/Users.php last;
  rewrite "^/api/v1/users/(all|active|inactive)?$" /api/v1/Users.php?status=$1 last;
  rewrite "^/api/v1/users/(\d+)/?$" /api/v1/Users.php?userId=$1 last;
}

# URL Match examples...

http://localhost/api/v1/users
http://localhost/api/v1/users/

http://localhost/api/v1/users/all
http://localhost/api/v1/users/active
http://localhost/api/v1/users/inactive

http://localhost/api/v1/users/2001
http://localhost/api/v1/users/2002
http://localhost/api/v1/users/2003

Existe uma maneira de direcionar o NGINX para ignorar os parâmetros de URL? Sinta-se à vontade para me informar se esta é uma pergunta ingênua. Talvez eu esteja fazendo a pergunta errada.

nginx

1 respostas

  1. Best Answer

    Em vez disso, use returnem vez de rewriteporque "a diretiva de reescrita pode retornar apenas o código 301 ou 302" . Para isso, crie um locationcom uma expressão regular para capturar a solicitação específica uri.

    E se você quiser apenas descartar todas essas solicitações, retorne um status http 444 .

    Exemplo:

    server {
    # ...
    location ~* ^/api/v1/users/.*$ {
        return  444;
    }
}
    • 1

relate perguntas