Debian Nginx SSL如何配置安全头

在Debian上配置Nginx以添加安全头，可以提高网站的安全性。以下是一些常见的安全头及其配置方法：

1. Content-Security-Policy (CSP): CSP可以防止跨站脚本攻击（XSS）和其他代码注入攻击。

   add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'; object-src 'none';";
   

2. X-Content-Type-Options: 防止浏览器MIME类型嗅探。

   add_header X-Content-Type-Options "nosniff";
   

3. X-Frame-Options: 防止点击劫持攻击。

   add_header X-Frame-Options "SAMEORIGIN";
   

4. X-XSS-Protection: 启用浏览器的XSS过滤器（现代浏览器已经不再支持这个头，但仍然可以添加以提高兼容性）。

   add_header X-XSS-Protection "1; mode=block";
   

5. Strict-Transport-Security (HSTS): 强制浏览器使用HTTPS连接。

   add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
   

6. Referrer-Policy: 控制Referer头的发送。

   add_header Referrer-Policy "no-referrer-when-downgrade";
   

7. Feature-Policy: 控制浏览器功能的启用（类似于CSP，但更细粒度）。

   add_header Feature-Policy "accelerometer 'none'; camera 'none'; geolocation 'none';";
   

8. Permissions-Policy: 替代Feature-Policy，控制浏览器功能的启用。

   add_header Permissions-Policy "accelerometer=(), camera=(), geolocation=()";
   

配置示例

以下是一个完整的Nginx配置示例，包含了上述安全头：

server {
    listen 80;
    server_name example.com;
    return 301 https://$host$request_uri;
}

server {
    listen 443 ssl;
    server_name example.com;

    ssl_certificate /etc/ssl/certs/example.com.crt;
    ssl_certificate_key /etc/ssl/private/example.com.key;

    add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'; object-src 'none';";
    add_header X-Content-Type-Options "nosniff";
    add_header X-Frame-Options "SAMEORIGIN";
    add_header X-XSS-Protection "1; mode=block";
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
    add_header Referrer-Policy "no-referrer-when-downgrade";
    add_header Feature-Policy "accelerometer 'none'; camera 'none'; geolocation 'none';";
    add_header Permissions-Policy "accelerometer=(), camera=(), geolocation=()";

    root /var/www/html;
    index index.html index.htm;

    location / {
        try_files $uri $uri/ =404;
    }
}

注意事项

1. CSP: CSP头可能会阻止一些合法的脚本和资源加载，因此需要根据实际情况进行调整。
2. HSTS: 一旦启用HSTS，浏览器将强制使用HTTPS，无法通过HTTP访问网站。确保在启用HSTS之前已经正确配置了SSL证书。
3. Feature-Policy 和 Permissions-Policy: 这些头是相对较新的，可能不被所有浏览器支持。请根据目标用户群体进行测试。

通过以上配置，可以显著提高Nginx服务器的安全性。