当前位置: 首页 > 编程笔记 >

为何要小心Nginx的add_header指令详解

姬锐
2023-03-14
本文向大家介绍为何要小心Nginx的add_header指令详解,包括了为何要小心Nginx的add_header指令详解的使用技巧和注意事项,需要的朋友参考一下

前言

大家都知道,nginx配置文件通过使用add_header指令来设置response header。

昨天无聊用curl查看一个站点的信息,发现返回的头部与想象中的不一样:

HTTP/2 200
date: Thu, 07 Feb 2019 04:26:38 GMT
content-type: text/html; charset=UTF-8
vary: Accept-Encoding, Cookie
cache-control: max-age=3, must-revalidate
last-modified: Thu, 07 Feb 2019 03:54:54 GMT
X-Cache: Miss
server: cloudflare
...

主站点在nginx.conf中配置了HSTS等header:

add_header Strict-Transport-Security "max-age=63072000; preload";
add_header X-Frame-Options SAMEORIGIN;
add_header X-Content-Type-Options nosniff;
add_header X-XSS-Protection "1; mode=block";

但响应头部没有这些header。除了常规的header,仅出现了一个配置配置在location中的header X-Cache。

第一印象是CDN过滤了这些header?于是找Cloudflare的文档,没发现会对这些进行处理。转念一想,CDN过滤这些干啥啊?吃饱了撑的啊?他们又不搞zheng审那一套!

问题转移到Nginx的配置上。打开Google搜索”nginx location add_header”,果然发现不少槽点。点开官网add_header的文档,有这样的描述(其他信息已省略):

There could be several add_header directives. These directives are inherited from the previous level if and only if there are no add_header directives defined on the current level.

注意重点在“These directives are inherited from the previous level if and only if there are no add_header directives defined on the current level. ”。即:仅当当前层级中没有add_header指令才会继承父级设置。所以我的疑问就清晰了:location中有add_header,nginx.conf中的配置被丢弃了。

这是Nginx的故意行为,说不上是bug或坑。但深入体会这句话,会发现更有意思的现象:仅最近一处的add_header起作用。http、server和location三处均可配置add_header,但起作用的是最接近的配置,往上的配置都会失效。

但问题还不仅于此。如果location中rewrite到另一个location,最后结果仅出现第二个的header。例如:

location /foo1 {
 add_header foo1 1;
 rewrite / /foo2;
}

location /foo2 {
 add_header foo2 1;
 return 200 "OK";
}

不管请求/foo1还是/foo2,最终header只有foo2:

尽管说得通这是正常行为,但总让人感觉有点勉强和不舒坦:server丢掉http配置,location丢掉server配置也就算了,但两个location在同一层级啊!

不能继承父级配置,又不想在当前块重复指令,解决办法可以用include指令。

参考

  • Nginx Module ngx_http_headers_module
  • Nginx add_header configuration pitfall
  • Be very careful with your add_header in Nginx! You might make your site insecure
  • add_header directives in location overwriting add_header directives in server
  • nginx 配置之 add_header 的坑

总结

以上就是这篇文章的全部内容了,希望本文的内容对大家的学习或者工作具有一定的参考学习价值,如果有疑问大家可以留言交流,谢谢大家对小牛知识库的支持。

 类似资料:
  • 本文向大家介绍Nginx Location 指令简明指南,包括了Nginx Location 指令简明指南的使用技巧和注意事项,需要的朋友参考一下 Nginx 中的 Location 指令 是NginxHttpCoreModule中重要指令。Location 指令比较简单,但却是配置 Nginx 过程中不得不去了解的。 Location 指令,是用来为匹配的 URI 进行配置,URI 即语法中的"

  • 本文向大家介绍详解Nginx静态服务配置(root和alias指令),包括了详解Nginx静态服务配置(root和alias指令)的使用技巧和注意事项,需要的朋友参考一下 静态文件 Nginx以其高性能著称,常用与做前端反向代理服务器。同时nginx也是一个高性能的静态文件服务器。通常都会把应用的静态文件使用nginx处理。 配置nginx的静态文件有两个指令,一个 root 和一个 alias。

  • 在我的Nginx服务器上,为了节省时间,我做了etc/nginx/include.conf,并把这一行放在etc/nginx/sites-可用/site1.conf: include.conf的内容: 测试 conf 文件时,会出现以下错误:/etc/nginx/include.conf:1 中出现 [emerg] 未知指令“if” 当我将if语句直接放在etc/nginx/sites avail

  • 本文向大家介绍Dockerfile指令详解,包括了Dockerfile指令详解的使用技巧和注意事项,需要的朋友参考一下 什么是Dockerfile Dockerfile是由一系列命令和参数构成的脚本,这些命令应用于基础镜像并最终创建一个新的镜像。它们简化了从头到尾的流程并极大的简化了部署工作。Dockerfile从FROM命令开始,紧接着跟随者各种方法,命令和参数。其产出为一个新的可以用于创建容器

  • Dockerfile 指令详解 我们已经介绍了 FROM,RUN,还提及了 COPY, ADD,其实 Dockerfile 功能很强大,它提供了十多个指令。下面我们继续讲解其他的指令。

  • static->http://localhost:8080 dev webserver->http://localhost:8080/dev 我将其他几个服务绑定到不同的位置指令。 null null 所以现在我有点不知道如何解决这个问题。