超全Nginx反向代理服务器原理+实战篇2-阿里云开发者社区

5.Nginx经典应用

5.1.Nginx全局异常兜底数据返回

任何接口都有可能出错，4xx，5xx等。
如果业务没有做好统一的错误管理，直接暴漏给用户，无疑是降低用户体验。
所以假如后端某个业务出错，nginx层也需要进行转换，让前端知道响应是200，其实将错误的状态吗定向到200，返回了全局兜底数据。

upstream lbs{
  server 192.168.10.111:8080;
  server 192.168.10.111:8081;
}
location /api/{
  proxy_pass http://lbs;
  proxy_redirect default;
  #存放用户真实的IP
  proxy_set_header Host $host;
  proxy_set_heater X-Real-IP $remote_addr;
  proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
  #开启错误拦截配置，一定要开启
  proxy_intercept_errors on;
}
error_page 404 500 503 502 503 =200 /default_api/;
location /default_api/{
  default_type application/json;
  return 200 '{"code":"-1","msg":"invoke fail, not found "}';
}

5.2.Nginx封禁恶意IP

网络攻击，TCP洪水攻击、注入攻击、DOS、DDOS等
数据安全，防止对手爬虫而已爬取，封禁IP

（1）封禁IP的方式

linux server的层面封IP：iptables
nginx层面封禁IP

（2）Nginx作为网关封禁IP

在nginx/conf 下编写blacklist.conf文件
deny 192.168.10.1;
在nginx.conf配置
全局配置：在http{}下配置
单独虚拟主机配置：在server下配置
include blacklist.conf;

./nginx -s reload 重新加载nginx配置
配置shell脚本自动化编写恶意IP封禁

5.3Nginx配置浏览器跨域

跨域：浏览器同源策略1995年，同源政策由Netscape公司引入浏览器。目前，所有浏览器都实行这个政策。最初，他的含义是指A网页设置的Cookie，B网页不能打开，除非这两个网页同源。
同源

协议相同 http https
域名相同 www.baidu.com

端口相同 80 81

解决办法

JSONP
Http响应头配置允许跨域

nginx层配置
程序代码中处理通过拦截器配置

Nginx开启跨域配置

location下配置

location /{
  add_header 'Access-Control-Allow-Origin' $http_origin;
  add_header 'Access-Control-Allow-Credentials' 'true';
  add_header 'Access-Control-Allow-Headers' 'DNT,web-token,apptoken,Authorization,Accept,Origin,KeepAlive,User-Agent,X-Mx-ReqToken,X-DataType,X-Auth-Token,X-Requested-With,IfModified-Since,Cache-Control,ContentType,Range';
  add_header Access-Control-Allow-Methods 'GET,POST,OPTIONS';
  #如果预见请求则返回成功，不需要转发到后端
  if($request_method == 'OPTIONS'){
    add_header 'Access-Control-Max-Age' 1728000;
    add_header 'Content-Type' 'text/plain; charset=utf-8';
    add_header 'Content-Length' 0;
    return 200;
  }
}

5.4.Nginx的location路径匹配规则

正则

^：以什么开始
$：以什么结束
^/api/user$

location路径匹配

语法 location [ = | ~ | ~* | ^~] uri{……}
location =/uri

= 表示精准匹配，只有完全匹配上才能生效

location /uri

不带任何修饰符，表示前缀匹配

location ^~/uri/

匹配任何以/uri/开头的任何查询并停止搜索

location /

通用匹配，任何未匹配到其他location的请求都会匹配到

正则匹配

区分大小写匹配（~）
不区分大小写匹配（*）

优先级

精准匹配>字符串匹配>正则匹配

案例

server {   
  server_name xdclass.net;   
  location ~^/api/pub$ { 
  ... 
  }  
}

http://xdclass.net/api/v1 #不匹配，没有以pub结尾
http://xdclass.net/API/PUB #不匹配，大写不匹配
http://xdclass.net/api/pub?key1=value1 #匹配
http://xdclass.net/api/pub/ #不匹配/说明接口不是以pub结尾
http://xdclass.net/api/public #不匹配 ，没有pub结尾

测试

location =/img/test.png{
  return 1;
}
location /img/test.png{
  return 2;
}
location ^~/img/{
  return 3;
}
location =/{
  return 4;
}
location /{
  return 5;
}

5.5.Nginx的rewrite重定向规则

重写-重定向
rewrite地址重定向，实现URL重定向的重要指令，他根据regex（正则表达式）来匹配内容跳转。
语法：rewrite regex replacement[flag]

rewrite ^/(.*) https://xdclass.net/$1 permanent
#这是一个正则表达式，匹配完整的域名和后面的路径地址
#replacement部分事https://xdclass.net/$1，$1是取自regex部分()里的内容

常用正则表达式：

字符	描述
^	表示以什么开头
$	表示以什么结尾
*	表示前面的字符0次或者多次
+	表示匹配前面一次或者多次

？	匹配前面0次或者1次
.	表示单个字符
(pattern)	匹配括号的内pattern

rewrite最后一项flag参数

标记符号	说明

last	本条规则匹配完成后继续向下匹配新的location URI规则
break	本条规则匹配完成后终止，不在匹配任何规则
redirect	返回302临时重定向
permanent	返回301永久重定向

应用场景

非法访问跳转，防盗链
网站更换新域名
http跳转https
不同地址访问同一个虚拟主机的资源

location /{
  #重定向以/划分把/前的所有替换成https://xdclass.net,$1为(.*)表示参数，permanent表示永久重定向
  rewrite ^/(.*) https://xdclass.net/$1 permanent;
}

5.6.Nginx配置Websocket反向代理

配置

server {
  listen 80;
  server_name xdclass.net;
  location /{
    proxy_pass http://lbs;
    proxy_read_timeout 300s; #websocket空闲保持时长
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr; 
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;               proxy_http_version 1.1;
    #
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection $connection_upgrade;
  }
}

核心是下面的配置其他和普通反向代理没区别，表示请求服务器升级协议为WebSocket

proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection $connection_upgrade;

服务器处理完请求，响应如下报文 #状态码为101

HTTP /1.1 101 Switching Protocols
Upgrade: websocket
Connection: upgrade

5.7.Nginx静态资源压缩

压缩配置

对文本、js和css文件等进行压缩，一般是压缩后的大小是原始大小的25%
gzip

语法: gzip on|off
默认值: gzip off
作用域: http, server, location, if (x) location
开启或者关闭gzip模块

gzip_buffers

语法: gzip_buffers number size
默认值: gzip_buffers 4 4k/8k

作用域: http, server, location

设置系统获取几个单位的缓存用于存储gzip的压缩结果数据流。例如 4 4k 代表以4k为单位，按照原始数据大小以4k为单位的4倍申请内存。 4 8k 代表以8k为单位，按照原始数据大小以8k为单位的4倍申请内存。

如果没有设置，默认值是申请跟原始数据相同大小的内存空间去存储gzip压缩结果。

gzip_comp_level

语法: gzip_comp_level 1…9
默认值: gzip_comp_level 1

作用域: http, server, location

gzip压缩比，1 压缩比最小处理速度最快，9 压缩比最大但处理最慢（传输快但比较消耗cpu）。

gzip_min_length

语法: gzip_min_length length
默认值: gzip_min_length 0
作用域: http, server, location

设置允许压缩的页面最小字节数，页面字节数从header头中的Content-Length中进行获取。
默认值是0，不管页面多大都压缩。
建议设置成大于1k的字节数，小于1k可能会越压越大。即: gzip_min_length 1024

gzip_http_version
语法: gzip_http_version 1.0|1.1

默认值: gzip_http_version 1.1

作用域: http, server, location

识别http的协议版本。由于早期的一些浏览器或者http客户端，可能不支持gzip自解压，用户就会看到乱码，所以做一些判断还是有必要的。注：21世纪都来了，现在除了类似于百度的蜘蛛之类的东西不支持自解压，

99.99%的浏览器基本上都支持gzip解压了，所以可以不用设这个值,保持系统默认即可。

gzip_types

语法: gzip_types mime-type [mime-type …]
默认值: gzip_types text/html

作用域: http, server, location

匹配MIME类型进行压缩，（无论是否指定）”text/html”类型总是会被压缩的。

注意：如果作为http server来使用，主配置文件中要包含文件类型配置文件

#开启gzip，减少我们发送的数据量
gzip on;
#设置允许压缩的页面最小字节数，页面字节数从header头中的Content-Length中进行获取。
gzip_min_length 1k;
#4个单位为16k的内存作为压缩结果流缓存
gzip_buffers 4 16k;
#gzip压缩比，可在1-9中设置，1压缩比例最小，速度最快，9压缩比例最大，速度最慢，消耗cpu
gzip comp level 4;
#压缩类型
gzip_types application/javascript text/plain text/css application/json application/xml text/javascript;
#给代理服务器用的，有的浏览器支持压缩，有的不支持，所以避免浪费支持也压缩，所以根据客户端的HTTP头来判断，是否需要压缩
gzip_vary on;
#禁用IE6一下的gzip压缩，IE某些版本对gzip的压缩支持很不好
gzip_disable "MSIE [1-6].";

压缩前后区别（上传js文件进行验证）

location /static/ {
  alias /usr/local/software/static;
}

web层主要涉及浏览器和服务器的网络交互，而网络交互显然是耗费时间的
要尽量减少交互次数
降低每次请求或响应数据量
开启压缩

在服务端是时间换空间的策略，服务端需要牺牲时间进行压缩以减小响应数据大小
压缩后面的内容可以获得更快的网络传输速度，时间时得到了优化，双向的

5.8.Nginx业务接口性能优化

（1）高并发Nginx服务器缓存

常见的缓存分类

数据库缓存
应用程序缓存
Nginx网关缓存
前端缓存

Nginx作为缓存让后端结果的缓存离用户更进一些，性能提高，减少服务请求网络带宽。

（2）常用配置

/root/cache

本地路径，用来设置Nginx缓存资源的存放地址

levels=1:2

默认所有缓存文件都放在上面指定的根路径中，

可能影响缓存的性能，推荐指定为2级目录来存储缓存文件，1和2表示用1位和2位16进制来命名目录名称。第一级目录用1位16进制名，如a，第二级目录用2位的16进制命名，如3a。所以此例中一级目录有16个，二级目录有16*16=256个，总目录数为16*256=4096个

当levels=1:1:1时，表示三级目录，每级目录16个，16*16*16

keys_zone

在共享内存中定义一块存储区域来存放缓存中的key和metadata

max_size

最大缓存空间，如果不指定会使用掉所有的磁盘孔吉纳，当disk达到上限后，会删除最少使用的cache

inactive

某个缓存在inactive指定的时间不被访问，将会从缓存中删除

proxy_cache_valid

配置nginx cache中缓存文件的缓存时间，proxy_cache_valid 200 304 2m 对于状态为200和304的缓存文件的缓存时间为2分钟

use_temp_path

临时缓存，建议为off，则nginx会将缓存的文件写入指定的cache文件中。

proxy_cache

启用proxy_cache,并指定keys_zone，如果proxy_cache off表示关闭缓存

add_header Nging-Cache “$upstream_cache_status”

用于前端判断是否缓存，miss、hit、expired(缓存过期)、updating(更新，使用旧的应答)

http{
  proxy_cache_path /root/cache/ levels=1:2 keys_zone=lx_cache:10m max_size=1g inactive=60m use_temp_path=off;
  server {
    proxy_pass http://lbs;
    proxy_redirect default;
    proxy_cache lx_cache;
    proxy_cache_valid 200 304 10m;
    proxy_cache_valid 404 1m
    proxy_cache_key $host$uri$is_args$args;
    add_header Nginx-Cache "$upstream_cache_status";
  }
}

配置重启：./nginx -s reload
验证：

注意：

nginx缓存过期影响的优先级进行排序为：inactive > 源服务器端Expires/max-age > proxy_cache_valid
如果出现Permission denied修改nginx.conf,将第一行修改为use root

默认情况下GET请求及HEAD请求会被缓存，而POST请求不会被缓存，可以过滤部分路径不用缓存

缓存清空

直接rm删除
ngx_cache_purge

缓存命中率统计

前端打点日志上报
nginx日志模板增加信息：$upstream_cache_status

7.Nginx配置HTTPS协议

7.1.新一代传输协议https

HTTPS（Secure Hypertext Transfer Protocol）安全超文本传输协议，是身披SSL外壳的HTTP
HTTPS是一种通过计算机网络进行安全通信的传输协议，经由HTTP进行通信，利用SSL/TLS建立全信道，加密数据包
HTTPS协议由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议。要比HTTP协议安全，可防止数据在传输过程中被窃取、改变，确保数据的完整性。

7.2.HTTPS传输流程

客户端发送https请求到服务端
服务端会将crt public（配置公钥）发送到客户端
客户端根据公钥验证是否正确，不正确则提醒警告，正确则根据公钥生成一个随机的密钥保存在客户端
将客户端生成的随机密钥发送到服务端

服务端解密随机的密钥，得到key
最后客户端通过key来交换数据
密钥交换使用非对称加密，内容传输使用对称加密的方式

7.3.阿里云HTTPS证书申请

地址：https://common-buy.aliyun.com/?commodityCode=cas

7.4.Nginx配置HTTPS证书

删除原先的nginx，新增ssl模块

./configure prefix=/usr/local/nginx --with-http_stub_status_module --with-http_ssl_module
make
make install
#查询是否安装成功
/usr/local/nginx/sbin/nginx -V

配置https证书

https{
    server {
        listen 443 ssl;
    server_name 16web.net;
    ssl_certificate /usr/local/software/biz/key/4383407_16web.net.pem;
    ssl_certficate_key /usr/local/software/biz/key/4383407_16web.net.key;
    ssl_session_cache shared:SSL:1m;
    ssl_session_timeout 5m;
    ssl_ciphers HIGH:!aNULL:!MD5;
    ssl_prefer_server_ciphers on;
    location /{
      root html;
      index index.html;
    }
    }
}

阿里云开发网络安全组

443端口

超全Nginx反向代理服务器原理+实战篇2

5.Nginx经典应用

5.1.Nginx全局异常兜底数据返回

5.2.Nginx封禁恶意IP

5.3Nginx配置浏览器跨域

5.4.Nginx的location路径匹配规则

5.5.Nginx的rewrite重定向规则

5.6.Nginx配置Websocket反向代理

5.7.Nginx静态资源压缩

5.8.Nginx业务接口性能优化

7.Nginx配置HTTPS协议

7.1.新一代传输协议https

7.2.HTTPS传输流程

7.3.阿里云HTTPS证书申请

7.4.Nginx配置HTTPS证书

热门文章

最新文章

相关课程

相关电子书

相关实验场景

热门

活动广场

任务中心

开发者评测

高校计划

乘风者计划

训练营

阿里云MVP

话题

直播

下载

镜像站

技术资料

插件

超全Nginx反向代理服务器原理+实战篇2

5.Nginx经典应用

5.1.Nginx全局异常兜底数据返回

5.2.Nginx封禁恶意IP

5.3Nginx配置浏览器跨域

5.4.Nginx的location路径匹配规则

5.5.Nginx的rewrite重定向规则

5.6.Nginx配置Websocket反向代理

5.7.Nginx静态资源压缩

5.8.Nginx业务接口性能优化

7.Nginx配置HTTPS协议

7.1.新一代传输协议https

7.2.HTTPS传输流程

7.3.阿里云HTTPS证书申请

7.4.Nginx配置HTTPS证书

热门文章

最新文章

相关课程

相关电子书

相关实验场景