Nginx服务之核心配置
纸上得来终觉浅,绝知此事要躬行。
1. 主配置相关
1.1 正常运行必备的配置
【1】user USERNAME [GROUPNAME];
- 作用域
- main
- 含义解释
- 指定运行worker进程的user和group
- 如果省略group,nginx会使用与user相同的组名
user nginx; user nginx nginx;
【2】pid /path/to/pid_file;
- 作用域
- main
- 含义解释
- 指定nginx运行使用的pid文件
- 默认值
- pid /run/nginx.pid;
pid /var/run/nginx/nginx.pid;
# 文件里面包含对应的PID值 $ cat /var/run/nginx/nginx.pid 2743
【3】worker_rlimit_nofile number;
- 作用域
- main
- 含义解释
- 指定一个worker进程所能够打开的最大文件句柄数
- 默认值为1024,通常无法满足我们的需求,需要修改
- 用于在不重启主进程的情况下增大该限制
worker_rlimit_nofile 10240;
【4】worker_rlimit_core size;
- 作用域
- main
- 含义解释
- 修改工作进程的core文件尺寸的最大值限制,通常不做修改
- 用于在不重启主进程的情况下增大该限制
worker_rlimit_core 65535;
【5】thread_pool name threads=number [max_queue=number];
- 作用域
- main
- 含义解释
- 线程池可以使worker进程不阻塞的读写文件
- name参数用于定义线程池的名称
- threads参数用于定义线程池中的线程数量
- max_queue参数可以限制多少数量的任务可以在队列中等待
- 版本1.7.11之后,该指令才可以使用
- 默认值
- thread_pool default threads=32 max_queue=65536;
# 如果线程池中所有的线程很很繁忙忙,新请求进来之前就需要排队等待了 # 此时max_queue参数可以限制多少数量的任务可以在队列中等待 # 默认情况下,队列的最大等待任务数量为65536个,超出时就会导致队列溢出抛出错误 thread_pool wsescape threads=32 max_queue=65536;
【6】include file|mask;
- 作用域
- 任意位置
- 含义解释
- 将一个文件或者匹配指定mask的文件包含到配置中去
- 被包含的文件应由语法正确的指令和块组成
# main include /etc/nginx/modules-enabled/*.conf; # http include /etc/nginx/mime.types; # http include /etc/nginx/conf.d/*.conf; include /etc/nginx/sites-enabled/*;
【7】env variable[=value];
- 作用域
- main
- 含义解释
- 一般情况下,不用设置
- 默认情况下,nginx会删除从父进程继承的除TZ变量以外的所有环境变量
- 该指令允许nginx保留某些继承的环境变量,改变它们的值或者创建新的环境变量
- 这些变量将在热升级nginx执行文件时被继承、被ngx_http_perl_module模块使用、被工作进程使用
- TZ变量总是被继承,并且可被ngx_http_perl_module模块使用, 除非明确配置不允许这样
- 默认值
- env TZ;
# Nginx环境变量是由nginx内部设置和使用,用户不应直接设置它 env MALLOC_OPTIONS; env PERL5LIB=/data/site/modules; env OPENSSL_ALLOW_PROXY_CERTS=1;
1.2 优化性能相关的配置
【1】worker_processes number|auto;
- 作用域
- main
- 含义解释
- 设置master启用的worker线程个数,通常设置为物理CPU核心数减1
- 从nginx1.3.8开始支持auto参数,表示nginx会自动检测进行合理的分配
- 最优值取决于许多因素,包括 CPU 核的数量、数量存储数据的硬盘驱动器、加载模式等
- 默认值
- worker_processes 1;
worker_processes auto;
【2】worker_cpu_affinity auto|cpumask ...;
- 作用域
- main
- 含义解释
- 绑定worker进程至指定的CPU上
- 默认情况下,工作进程不绑定到任何特定的CPU上的
- 绑定进程不能避免进程间切换,但是至少可以保证该进程的缓存不会失效
# 绑定工作进程到指定的CPU集合 # 每个CPU集合使用一个标记允许使用的CPU的位图来表示,需要为每个工作进程分别设置CPU集合 worker_processes 4; worker_cpu_affinity 0001 0010 0100 1000; # 如果位数不够表示了,可以使用更多的位数 worker_processes 6; worker_cpu_affinity 00000001 00000010 00000100 00001000 00010000 00100000;
# 适合于超线程的机器 # 将每个工作进程分别绑定至不同的CPU # 将第一个工作进程绑定至CPU0/CPU2,将第二个工作进程绑定至CPU1/CPU3 worker_processes 2; worker_cpu_affinity 0101 1010;
【3】ssl_engine device;
- 作用域
- main
- 含义解释
- 在存在ssl硬件加速器的服务器上,指定所使用的ssl硬件加速设备
ssl_engine ssl-speed-hr;
【4】timer_resolution interval;
- 作用域
- main
- 含义解释
- 计时器解析度:降低此值可以减少gettimeofday()的调用次数
- 默认情况下,每收到一个内核事件,nginx都会调用一次gettimeofday()方法
- 在x86-64系统上,gettimeofday()代价已经很小,可以忽略此配置
timer_resolution 100ms;
【5】worker_priority number;
- 作用域
- main
- 含义解释
- 定义worker进程的调度优先级
- 与nice命令基本一致,number为负数代表优先级更高
- 范围为-20, 19对于值为100, 139
- 默认值
- worker_priority 0;
# 调为负值的时候,可以让CPU优先处理nginx的进行请求 worker_priority -10;
【6】worker_shutdown_timeout time;
- 作用域
- main
- 含义解释
- 配置worker进程的优雅的关闭时长,过期后将尝试关闭所有当前打开的连接之后重启
- 版本1.11.11之后,该指令才可以使用
worker_shutdown_timeout 100s;
【7】pcre_jit on | off;
- 作用域
- main
- 含义解释
- 开启或禁止在配置解析阶段为正则表达式使用即时编译(PCRE JIT)技术,可以显著提升正则表达式的处理速度
- 从PCRE 8.20版本开始,可用PCRE的--enable-jit编译选项打开JIT功能
- 当使用PCRE源码库编译nginx时(--with-pcre=), 应该使用nginx的--with-pcre-jit编译选项开启JIT支持
- 默认值
- pcre_jit off;
pcre_jit on;
1.3 event 事件相关的配置
【1】events { ... }
- 作用域
- main
- 含义解释
- 提供配置上下文,以解析那些影响连接处理的指令
events { accept_mutex on; accept_mutex_delay 100ms; worker_connections 10240; ... }
【2】accept_mutex on|off;
- 作用域
- events
- 含义解释
- master进程将请求调度至各worker进程时用的负载均衡锁
- 如果使用,nginx的多个worker进程将以串行方式轮流响应新请求
- 而通常当一个worker进程的负载达到其上限的7/8,master就尽可能不再将请求调度此worker
- 否则,新请求将通报给所有worker进程,如果新请求数量较少,某些worker进程可能只是在浪费系统资源
- 必须开启accept_mutex才能使用rtsig事件模型
- 默认值
- accept_mutex on;
accept_mutex off;
【3】accept_mutex_delay time;
- 作用域
- events
- 含义解释
- 使用accept_mutex时,发现某个worker进程正在工作,自身需要等待多久重新开始尝试接入新请求
- 默认值
- accept_mutex_delay 500ms;
accept_mutex_delay 100ms;
【4】lock_file file;
- 作用域
- main
- 含义解释
- nginx使用锁机制来实现accept_mutex,并将访问串行化到共享内存
- 定义accept_mutex使用的锁文件位置
- 默认值
- lock_file logs/nginx.lock;
lock_file /etc/nginx/lock/nginx.lock;
【5】multi_accept on|off;
- 作用域
- events
- 含义解释
- 是否允许一次性地响应多个用户请求,默认为off模式
- 使用kqueue事件模式时,可忽略这条指令,因为 kqueue 可以报告有多少新连接等待接入
- 使用 rtsig 事件模式将自动开启 multi_accept
- 默认值
- multi_accept off;
multi_accept on;
【6】use method;
- 作用域
- events
- 含义解释
- 定义nginx使用的事件模型
- 通常不需要明确设置,因为nginx默认会使用最高效的方法
use epoll;
【7】worker_connections number;
- 作用域
- events
- 含义解释
- 设置每个worker进程可以响应的最大并发请求数
- 请求数量 = work_processes * worker_connections
- 需要记住,这个数量包含所有连接而不仅仅是和客户端的连接
- 实际的并发连接数是不能超过打开文件的最大数量限制的,这个限制可以用worker_rlimit_nofile指令修改
- 默认值
- worker_connections 512;
worker_connections 10240;
【8】worker_aio_requests number;
- 作用域
- events
- 含义解释
- 在使用epoll事件模型下使用aio时, 可以设置单个工作进程未处理的异步I/O操作的最大数量
- 只在版本1.1.4和1.0.7可以使用该指令
- 默认值
- worker_aio_requests 32;
worker_aio_requests 64;
1.4 调试/定位相关的配置
部分参数设置需要在编译nginx时使用了--with-debug选项才有效
【1】daemon on|off;
- 作用域
- main
- 含义解释
- 是否以守护进程方式启动nginx服务,调试时设置为off,运行时设置为on
- 不运行为守护进程,会将日志等信息输出到控制台,主要用于开发和调试时才使用
- 默认值
- daemon on;
daemon off;
【2】master_process on|off;
- 作用域
- main
- 含义解释
- 是否以master/worker模型来运行nginx服务
- 调试时可以设置为off,表示由master直接接受用户请求
- 默认值
- master_process on;
master_process off;
【3】error_log file [level];
- 作用域
- main、http、server、location
- 含义解释
- 错误日志文件及其级别,出于调试的目的可以使用debug级别
- 但此级别只有在编译nginx时使用了--with-debug选项才有效
- level的值可以为debug|info|notice|warn|error|crit|alert|emerg,默认为error
- 输出可以为文件(file)、标准输出(stderr)、日志服务器(syslog)、内存空间(memory)
- 默认值
- error_log logs/error.log error;
# 文件 error_log /var/logs/error.log info; # 标准输出 error_log stderr error; # 日志服务器 # 格式:syslog:server=address{,parameter=value} error_log syslog:server=192.168.100.10 warn; # 内存空间 error_log memory:10240;
2. 虚拟主机相关
Nginx必须使用虚拟机来配置站点,且每个虚拟主机使用一个server {}段配置,非虚拟主机的配置或公共配置,需要定义在server之外和http之内。
2.1 常规运行相关的配置
【1】http { ... }
- 作用域
- main
- 含义解释
- 为HTTP服务器提供配置
http { server { listen 8080; server_name www.wsescape.com; root "/nginx/web"; } }
【2】server {}
- 作用域
- http
- 含义解释
- 表示开始设置虚拟主机的配置
- Nginx没有明显分隔基于 IP 地址(IP-based)和基于主机名(name-based)这两种类型的虚拟主机, 而是用listen指令描述虚拟主机接受连接的地址和端口,用server_name指令列出虚拟主机的所有主机名
http { server { listen 8080; server_name www.wsescape.com; root "/nginx/web"; } }
【3】listen address[:port];
- 作用域
- server
- 含义解释
- 定义虚拟主机监听的地址和端口
- 对于IP协议,这个地址就是address和port
- 对于UNIX域套接字协议,这个地址就是path
- 默认值
- listen *:80|*:8000;
# IPv4地址的表示方式 listen 127.0.0.1:8000; listen 127.0.0.1; listen 8000; listen *:8000; listen localhost:8000; # IPv6地址(0.7.36版)用方括号来表示 listen [::]:8000; listen [fe80::1]; # UNIX域套接字(0.8.21版)则使用“unix:”前缀 listen unix:/var/run/nginx.sock; # 配置服务器可以处理HTTP和HTTPS请求 listen 80; listen 443 ssl; # 配置带参数的listen listen 127.0.0.1 default_server accept_filter=dataready backlog=1024; # 在这些操作系统上(Linux 2.4+)可以使用keepidle,keepintvl和keepcnt参数来配置 # 空闲超时(TCP_KEEPIDLE)、探测次数(TCP_KEEPCNT)、探测时间间隔(TCP_KEEPINTVL) # 设置空闲超时为30分钟,设置探测次数为10次,保留探测时间间隔为系统默认值 so_keepalive=30m::10
# 第一种表达方式 listen address[:port] [default_server] [ssl] [http2 | spdy] [proxy_protocol] [setfib=number] [fastopen=number] [backlog=number] [rcvbuf=size] [sndbuf=size] [accept_filter=filter] [deferred] [bind] [ipv6only=on|off] [reuseport] [so_keepalive=on|off|[keepidle]:[keepintvl]:[keepcnt]]; # 第二种表达方式 listen port [default_server] [ssl] [http2 | spdy] [proxy_protocol] [setfib=number] [fastopen=number] [backlog=number] [rcvbuf=size] [sndbuf=size] [accept_filter=filter] [deferred] [bind] [ipv6only=on|off] [reuseport] [so_keepalive=on|off|[keepidle]:[keepintvl]:[keepcnt]]; # 第三种表达方式 listen unix:path [default_server] [ssl] [http2 | spdy] [proxy_protocol] [backlog=number] [rcvbuf=size] [sndbuf=size] [accept_filter=filter] [deferred] [bind] [so_keepalive=on|off|[keepidle]:[keepintvl]:[keepcnt]];
版本0.8.21以前,default_server参数的名称为default 版本0.7.14以前,才可以使用ssl参数,配置服务器可以处理HTTP和HTTPS请求 版本1.9.5以前,才可以使用http2参数,配置服务器可以支持HTTP/2协议 版本1.3.15-1.9.4之间,可以支持谷歌开发的SPDY协议,基本不用 版本1.5.12以前,才可以使用proxy_protocol参数,允许指定所有连接在该端口上接受应该使用代理协议
# (1) default_server参数 如果listen指令带有default_server参数,当前虚拟主机将成为指定address:port的默认虚拟主机。 如果listen指令后没有带default_server参数,那么第一个监听address:port的虚拟主机将作为这个地址的默认虚拟主机。 # (2) setfib=number参数 这个参数(0.8.44)为监听套接字设置关联路由表FIB,当前这个参数仅工作在FreeBSD上 # (3) fastopen=number参数 使“TCP快开放”的监听套接字(1.5.8)和连接队列的最大长度限制,尚未完成了三方握手 建议不要启用该参数特性,除非服务器可以处理接收相同的SYN包不止一次的数据 # (4) backlog=number参数 为系统调用listen()设置backlog参数,用以限制未接受(Accept)连接的队列的最大长度 FreeBSD和Mac的操作系统下,backlog的默认值是-1,在其他操作系统中,backlog的默认值是511 # (5) rcvbuf=size参数 为监听套接字设置接收缓冲区大小(SO_RCVBUF参数) # (6) sndbuf=size参数 为监听套接字设置发送缓冲区大小(SO_SNDBUF参数) # (7) deferred参数 指示在Linux系统使用延迟的accept() # (8) bind参数 指示nginx为设置的address:port单独调用一次bind()。这是因为当有多条listen指令监听不同地址下的 相同端口,而其中一条listen指令监听了这个端口的所有地址(*:port)时,nginx只会为*:port调用一次 bind()绑定套接字。需要留意的是,这种情况下,nginx会调用getsockname()系统调用来确定接受请求的 套接字地址。 如果为某个address:port定义了参数backlog、rcvbuf、 sndbuf、accept_filter、 deferred或者so_keepalive, nginx总会为这个地址单独调用一次bind()绑定套接字。 # (9) ipv6only=on|off参数 这个参数(0.7.42)决定监听在通配地址[::]上的IPv6套接字是只支持IPv6连接,还是同时支持IPv6和IPv4连接 这个参数默认打开,并且只能在nginx启动时设置 在1.3.4版本以前,如果省略此参数,那么操作系统的套接字设置将生效 # (10) ssl参数 本参数(0.7.14)与套接字相关的系统调用无关,但是它可以指定从这个端口接受的连接应该以SSL模式工作 本参数在某服务器同时处理HTTP和HTTPS请求时,可以使配置更为紧凑。 # (11) so_keepalive=on|off|[keepidle]:[keepintvl]:[keepcnt]参数 这个参数(1.1.11)为监听套接字配置“TCP keepalive”行为,如果省略此参数设置将对此端口生效 如果参数值设置为on,监听套接字的SO_KEEPALIVE属性将被开启 如果参数值设置为off,监听套接字的SO_KEEPALIVE属性将被关闭
【4】server_name name ...;
- 作用域
- server
- 含义解释
- 设置虚拟主机名
- 可以跟多个主机名,名称中可以使用通配符和正则表达式(通常以~开头)
- 当nginx收到一个请求时,会取出其首部的server的值,而后跟众server_name进行比较
- 默认值
- server_name "";
# 匹配比较优先顺序 (1) 先做精确匹配:如www.escape.com (2) 左侧通配符匹配:如*.escape.com (3) 右侧通配符匹配:如www.abc.com, www.* (4) 正则表达式匹配:如~^.*.escape.com$
# 设置单个虚拟主机名称 server { server_name .example.com; } # 设置多个虚拟主机名称 server { server_name www.example.com ~^wwwd+.example.com$; }
【5】server_names_hash_bucket_size size;
- 作用域
- http
- 含义解释
- 设置主机名哈希桶大小,其默认值取决于处理器的缓存线长度
- 为了实现快速主机查找,nginx使用hash表来保存主机名
- 另一篇文档设置哈希表详细介绍了如何设置哈希表
- 默认值
- server_names_hash_bucket_size 32|64|128;
server_names_hash_bucket_size 64;
【6】server_names_hash_max_size size;
- 作用域
- http
- 含义解释
- 设置主机名哈希表的最大容量
- 默认值
- server_names_hash_max_size 512;
server_names_hash_max_size 1024;
【7】location [ = | ~ | ~* | ^~ ] uri { ... }
- 作用域
- server、location
- 含义解释
- 还有一种表达方式:location @name { ... }
- 允许根据用户请求的URI来匹配指定的各location以进行访问配置
- 匹配到时,将被location块中的配置所处理,比如http://www.wsescape.com/images/logo.gif
- 使用=前缀可以定义URI和路径的精确匹配,如果匹配,则终止路径查找
- 前缀@定义了命名路径,这种路径不在一般的请求处理中使用, 而是用在请求重定向中
# 匹配比较优先顺序:字符字面量最精确匹配、正则表达式检索(由第一个匹配到所处理)、按字符字面量 (1) =:精确匹配 (2) ~:正则表达式模式匹配,匹配时区分字符大小写 (3) ~*:正则表达式模式匹配,匹配时忽略字符大小写 (4) ^~: URI前半部分匹配,不检查正则表达式
location = / { [ configuration A ] } location / { [ configuration B ] } location /documents/ { [ configuration C ] } location ^~ /images/ { [ configuration D ] } location ~* .(gif|jpg|jpeg)$ { [ configuration E ] }
2.2 文件路径相关的匹配
【1】root path;
- 作用域
- http、server、location、if in location
- 含义解释
- 设置Web资源路径,用于指定请求的根文档目录
- 默认值
- root html;
# /index.html将由/www/htdocs/index.html文件来响应 location / { root /www/htdocs; } # /images/b.html将由/data/w3/images/b.html文件来响应 location /images/ { root /data/w3; }
【2】alias path;
- 作用域
- location
- 含义解释
- 只能用于location中,用于路径别名
# /i/top.gif将由/data/w3/images/top.gif文件来响应 location /i/ { alias /data/w3/images/; } # /images/b.html将由/data/w3/b.html文件来响应 location /images/ { alias /data/w3/; } # /images/b.html将由/data/w3/images/b.html文件来响应 location /images/ { alias /data/w3/images/; } location ~ ^/users/(.+.(?:gif|jpe?g|png))$ { alias /data/w3/images/$1; }
【3】index file ...;
- 作用域
- http、server、location
- 含义解释
- 定义默认页面,可参跟多个值,列表中的最后一个元素可以是一个带有绝对路径的文件
- 模块ngx_http_index_module处理以斜线字符/结尾的请求
- 默认值
- index index.html;
location / { index index.$geo.html index.0.html /index.html; }
# 需要注意的是,index文件会引发内部重定向,请求可能会被其它location处理 # 如下面这个例子中,请求“/”实际上将会在第二个location中作为“/index.html”被处理 location = / { index index.html; } location / { ... }
【4】error_page code ... [=[response]] uri
- 作用域
- http、server、location、if in location
- 含义解释
- 定义错误页面重定向
- 当对于某个请求返回错误时,如果匹配上了error_page指令中设定的code,则重定向到新的URI中
# 一般的设置方式 error_page 404 /404.html; error_page 500 502 503 504 /50x.html; # 可以使用=response语法改变响应状态码,响应的如果是404的话返回给用户200页面 error_page 404 =200 /empty.gif; # 也可以使用本指令对错误处理进行重定向 error_page 403 http://example.com/forbidden.html; error_page 404 =301 http://example.com/notfound.html; # 如果内部跳转时无需改变URI,可以将错误处理转到一个命名路径 location / { error_page 404 = @fallback; } location @fallback { proxy_pass http://backend; }
【5】try_files file ... uri;
- 作用域
- server、location
- 含义解释
- 还有一种表达方式:try_files file ... =code;
- 自左至右尝试读取指定的路径,在第一次找到即停止并返回,如果所有路径均不存在,则返回最后一个URI
- 文件路径是根据root指令和alias指令,将file参数拼接而成
- 可以在名字尾部添加斜线以检查目录是否存在,比如$uri/
# $uri表示请求的路径 location /images/ { try_files $uri /images/default.gif; } location = /images/default.gif { expires 30s; }
# /documents/a.html请求,先查找/docu/a.html,在查找/temp.html location ~* ^/documents/(.*)$ { root /www/htdocs; try_files $uri /docu/$1 /temp.html; } # 从0.7.51版本开始,最后一个参数也可以是code location / { try_files $uri $uri/index.html $uri.html =404; }
# 下面是代理Mongrel的例子 location / { try_files /system/maintenance.html $uri $uri/index.html $uri.html @mongrel; } location @mongrel { proxy_pass http://mongrel; } # 下面是Drupal用FastCGI的例子 location / { try_files $uri $uri/ @drupal; } location ~ .php$ { try_files $uri @drupal; fastcgi_pass ...; fastcgi_param SCRIPT_FILENAME /path/to$fastcgi_script_name; fastcgi_param SCRIPT_NAME $fastcgi_script_name; fastcgi_param QUERY_STRING $args; ... other fastcgi_param's } location @drupal { fastcgi_pass ...; fastcgi_param SCRIPT_FILENAME /path/to/index.php; fastcgi_param SCRIPT_NAME /index.php; fastcgi_param QUERY_STRING q=$uri&$args; ... other fastcgi_param's }
2.3 网络连接相关的设置
【1】keepalive_timeout timeout [header_timeout];
- 作用域
- http、server、location
- 含义解释
- 保持连接的超时时长
- 第一个参数设置客户端的长连接在服务器端保持的最长时间,在此时间客户端未发起新请求则长连接关闭
- 第二个参数为可选项,设置Keep-Alive: timeout=time响应头的值
- 可以为这两个参数设置不同的值
- 默认值
- keepalive_timeout 75s;
keepalive_timeout 360s;
【2】keepalive_requests number;
- 作用域
- http、server、location
- 含义解释
- 在一次长连接上允许承载的最大请求数,请求数超过此值时长连接将关闭
- 在0.8.0版本之后才可以使用该指令
- 默认值
- keepalive_requests 100;
keepalive_requests 1000;
【3】keepalive_disable none|browser ...;
- 作用域
- http、server、location
- 含义解释
- 对指定的浏览器禁止使用长连接
- 浏览器可以为:msie6 | safari | none,值为none表示为所有浏览器开启长连接功能
- 默认值
- keepalive_disable msie6;
keepalive_disable none;
【4】tcp_nodelay on|off;
- 作用域
- http、server、location
- 含义解释
- 对keepalive连接是否使用TCP_NODELAY选项,仅在将连接转变为长连接的时候才被启用
- TCP_NODELAY选项的功能就是响应报文不经过内核直接返回给客户端,加载网站的响应速度
- 一般在upstream发送响应到客户端时也会启用
- 默认值
- tcp_nodelay on;
tcp_nodelay off;
【5】client_header_timeout time;
- 作用域
- http、server
- 含义解释
- 读取http客户端请求首部的超时时长
- 如果客户端在这段时间内没有传送完整的头部到服务器,将返回错误408(Request Time-out)给客户端
- 默认值
- client_header_timeout 60s;
client_header_timeout 10s;
【6】client_body_timeout time;
- 作用域
- http、server、location
- 含义解释
- 读取http请求包体的超时时长
- 超时是指相邻两次读操作之间的最大时间间隔,而不是整个请求正文完成传输的最大时间
- 如果客户端在这段时间内没有传输任何数据,服务器将返回408(Request Time-out)错误到客户端
- 默认值
- client_body_timeout 60s;
client_body_timeout 10s;
【7】send_timeout time;
- 作用域
- http、server、location
- 含义解释
- 服务器发送响应的超时时长
- 超时仅指两次相邻写操作之间的时间间隔,而非整个响应的传输时间
- 如果客户端在这段时间中没有收到任何数据,连接将关闭
- 默认值
- send_timeout 60s;
send_timeout 10s;
2.4 对客户端请求的限制
【1】client_max_body_size size;
- 作用域
- http、server、location
- 含义解释
- 设置允许客户端请求正文的最大长度,请求的长度由Content-Length请求头指定
- 如果请求的长度超过设定值,服务器将返回错误413(Request Entity Too Large)到客户端
- 将size设置成0可以使nginx不检查客户端请求正文的长度
- 默认值
- client_max_body_size 1m;
client_max_body_size 2m;
【2】limit_except method ... { ... }
- 作用域
- location
- 含义解释
- 指定对范围之外的其它方法的访问控制
- HTTP方法可选值有GET、HEAD、 POST、 PUT、 DELETE、 OPTIONS、PATCH等
- 指定method为GET方法的同时,nginx会自动添加HEAD方法
- 由ngx_http_access_module和ngx_http_auth_basic_module模块的指令来限制访问
# 请留意该例子将对除GET和HEAD方法以外的所有HTTP方法的请求进行访问限制 limit_except GET { allow 192.168.1.0/32; deny all; }
【3】limit_rate rate;
- 作用域
- http、server、location、if in location
- 含义解释
- 限制向客户端传送响应的速率限制,参数rate的单位是字节/秒,设置为0将关闭限速
- 如果进行连接限速时,某个客户端同时开启了两个连接,那么客户端的整体速率是这条指令设置值的2倍
- 默认值
- limit_rate 0;
# 也可以利用$limit_rate变量设置流量限制 server { if ($slow) { set $limit_rate 4k; } ... }
【4】limit_rate_after size;
- 作用域
- http、server、location、if in location
- 含义解释
- 设置不限速传输的响应大小,当传输量大于此值时,超出部分将限速传送
- 默认值
- limit_rate_after 0;
location /flv/ { flv; limit_rate_after 500k; limit_rate 50k; }
2.5 文件操作优化的设置
【1】sendfile on|off;
- 作用域
- http、server、location、if in location
- 含义解释
- 开启或关闭使用sendfile()调用
- 默认值
- sendfile off;
# 从0.8.12版本开始可以使用aio预装数据sendfile() location /video/ { sendfile on; tcp_nopush on; aio on; }
【2】aio on|off|threads[=pool];
- 作用域
- http、server、location
- 含义解释
- 是否启用异步文件 I/O(AIO)功能
- 在0.8.11版本之后才可以使用该指令
- 默认值
- aio off;
location /video/ { aio on; output_buffers 1 64k; }
# 从Linux内核2.6.22版开始也可以使用AIO,但必须同时开启directio,否则读取将是阻塞的 # 在Linux上,directio指令只在读取的块的边界对齐512字节(在XFS上是4K字节)时才有用 location /video/ { aio on; directio 512; output_buffers 1 128k; } # 如果在Linux上同时使用AIO和sendfile # AIO用于大于或等于directio指令指定的文件,sendfile用于小于directio指令指定的文件或directio未设置 location /video/ { sendfile on; aio on; directio 8m; } # 在1.7.11版本之后,文件读取也可以使用多线程,实现真正的无阻塞进程 # 默认情况下,多线程功能是未开启的,需要在编译的时候通过--with-threads参数指定 location /video/ { sendfile on; aio threads; }
【3】open_file_cache off|max=N [inactive=time];
- 作用域
- http、server、location
- 含义解释
- 是否打开文件缓存功能
- 可缓存打开文件描述符的大小和修改时间、目录查找结果、文件查找时的错误结果
- max设置缓存中元素的最大数量,当缓存溢出时,使用最近最少使用(LRU)算法删除缓存中的元素
- inactive设置超时,在这段时间内缓存元素如果没有被访问,将从缓存中删除,默认超时是60秒
- 如果设置为off则关闭缓存
- 默认值
- open_file_cache off;
open_file_cache max=1000 inactive=20s; open_file_cache_valid 30s; open_file_cache_min_uses 2; open_file_cache_errors on;
【4】open_file_cache_errors on|off;
- 作用域
- http、server、location
- 含义解释
- 开启或者关闭缓存文件找不到或没有权限访问等相关信息
- 默认值
- open_file_cache_errors off;
open_file_cache_errors on;
【5】open_file_cache_min_uses number;
- 作用域
- http、server、location
- 含义解释
- 设置在由open_file_cache指令的inactive参数配置的超时时间内,文件应该被访问的最小次数
- 如果访问次数大于等于此值,文件描述符会保留在缓存中,否则从缓存中删除
- 默认值
- open_file_cache_min_uses 1;
open_file_cache_min_uses 10;
【6】open_file_cache_valid time;
- 作用域
- http、server、location
- 含义解释
- 设置检查open_file_cache缓存的元素的时间间隔,默认为60s
- 默认值
- open_file_cache_valid 60s;
open_file_cache_valid 30s;
2.6 对客户端请求的处理
【1】ignore_invalid_headers on | off;
- 作用域
- http、server
- 含义解释
- 控制是否忽略非法的请求头字段名,默认为on
- 合法的名字是由英文字母、数字、下划线和连字符组成,由underscores_in_headers指令控制
- 可以在默认虚拟主机的server层中定义一次,那么监听在相同地址和端口的所有虚拟主机上都生效
- 默认值
- ignore_invalid_headers on;
ignore_invalid_headers on;
【2】log_not_found on|off;
- 作用域
- http、server、location
- 含义解释
- 是否将文件找不到的信息也记录进在错误日志(error_log)中去
- 默认值:
- log_not_found on;
log_not_found on;
【3】log_subrequest on|off;
- 作用域
- http、server、location
- 含义解释
- 是否将文件找不到的信息也记录进在错误日志(access_log)中去
- 默认值:
- log_subrequest off;
log_subrequest off;
【4】resolver address ... [valid=time];
- 作用域
- http、server、location
- 含义解释
- 指定nginx使用的DNS服务器地址,多台的话以轮询方式
- 可以指定域名或者IP地址,如果未指定端口,则使用53端口
- 可以缓存名字解析的结果,默认情况下,缓存时间为解析响应中的TTL字段的值,也允许通过valid参数覆盖
- 在1.1.9版本以前,不可能调节缓存时间,nginx总会将响应缓存5分钟
resolver 127.0.0.1 [::1]:5353; resolver 127.0.0.1 [::1]:5353 valid=30s;
【5】resolver_timeout time;
- 作用域
- http、server、location
- 含义解释
- 为名字解析设置超时
- 默认值
- resolver_timeout 30s;
resolver_timeout 5s;
【6】server_tokens on | off;
- 作用域
- http、server、location
- 含义解释
- 开启或关闭在错误信息的Server响应头中输出nginx版本号
- 默认值
- server_tokens on;
server_tokens on;
【7】chunked_transfer_encoding on|off;
- 作用域
- http、server、location
- 含义解释
- 允许关闭HTTP/1.1中的分块传输编码
- 在客户端软件不支持分块传输编码的时候,这条指令才有用
- 默认值
- chunked_transfer_encoding on;
chunked_transfer_encoding on;
2.7 内存及磁盘资源分配
【1】client_body_buffer_size size;
- 作用域
- http、server、location
- 含义解释
- 设置读取客户端请求正文的缓冲容量大小
- 如果请求正文大于缓冲容量,整个正文或者正文的一部分将写入临时文件
- 缓冲大小默认等于两块内存页的大小,在x86平台、其他32位平台和x86-64平台,这个值是8K
- 在其他64位平台,这个值一般是16K
- 默认值
- client_body_buffer_size 8k|16k;
client_body_buffer_size 8k;
【2】client_body_in_file_only on|clean|off;
- 作用域
- http、server、location
- 含义解释
- 决定nginx是否将客户端请求正文整个存储在磁盘文件中
- 非off表示存储,即使包体大小为0也会创建一个磁盘文件
- 当指令值设置为on时,请求处理结束后不会删除临时文件
- 当指令值设置为clean时,请求处理结束后会删除临时文件
- 默认值
- client_body_in_file_only off;
client_body_in_file_only on;
【3】client_body_in_single_buffer on|off;
- 作用域
- http、server、location
- 含义解释
- 决定nginx将整个客户端请求正文保存在一块缓冲区中
- 这条指令推荐在使用$request_body变量时使用,可以节省引入的拷贝操作
- 默认值
- client_body_in_single_buffer off;
client_body_in_single_buffer on;
【4】client_body_temp_path path [level1 [level2 [level3]]];
- 作用域
- http、server、location
- 含义解释
- 定义存储客户端请求正文的临时文件的目录
- 支持在指定目录下多达3层的子目录结构
- 默认值
- client_body_temp_path client_body_temp;
# 1表示只使用一个数字,2表示使用两个数字的组合 # 存储临时文件的路径是/spool/nginx/client_temp/7/45/00000123457 client_body_temp_path /spool/nginx/client_temp 1 2;
【5】client_header_buffer_size size;
- 作用域
- http、server
- 含义解释
- 设置读取客户端请求头部的缓冲容量,默认为1k
- 如果请求中含有的cookie很长或者请求来自WAP的客户端,可能请求头不能放在1K的缓冲中
- 如果从请求行或者某个请求头开始不能完整的放在这块空间中,那么nginx将按照large_client_header_buffers指令的配置分配更多更大的缓冲来存放
- 默认值
- client_header_buffer_size 1k;
client_header_buffer_size 2k;
【6】large_client_header_buffers number size;
- 作用域
- http、server
- 含义解释
- 设置读取客户端请求超大请求的缓冲最大数量和每块缓冲的容量
- HTTP请求行的长度不能超过一块缓冲的容量,否则nginx返回错误414(Request-URI Too Large)到客户端
- 每个请求头的长度也不能超过一块缓冲的容量,否则nginx返回错误400(Bad Request)到客户端
- 缓冲仅在必需是才分配,默认每块的容量是8K字节
- 即使nginx处理完请求后与客户端保持入长连接,nginx也会释放这些缓冲
- 默认值
- large_client_header_buffers 4 8k;
large_client_header_buffers 4 8k;
【7】connection_pool_size size;
- 作用域
- http、server
- 含义解释
- 允许微调为每个连接分配的内存,默认为256
- 这条指令对nginx的性能影响非常小,一般不应该使用
- 默认值
- connection_pool_size 256;
connection_pool_size 512;
【8】request_pool_size size;
- 作用域
- http、server
- 含义解释
- 允许对每个请求的内存分配进行细调,默认为4k
- 这条指令对性能影响很小,通常情况下不应使用
- 默认值
- request_pool_size 4k;
request_pool_size 2k;
3. 高级配置相关
Nginx的高级配置会涉及到虚拟主机配置、访问控制、用户认证等。
3.1 基于 IP 地址的访问控制
主要事项
- ngx_http_access_module模块提供限制某些IP地址的客户端访问
- 也可以通过用户名/密码或JWT来实现限制访问,使用satisfy指令就能同时通过IP地址和密码来限制访问
- 在规则很多的情况下,使用ngx_http_geo_module模块变量更合适
提供指令
- allow
- 语法格式:allow address|CIDR|unix:|all;
- 含义解释:允许指定的网络地址访问
- 作用范围:http、server、location、limit_except
- deny
- 语法格式:deny address|CIDR|unix:|all;
- 含义解释:拒绝指定的网络地址访问
- 作用范围:http、server、location、limit_except
实例演示
# 规则按照顺序依次检测,直到匹配到第一条规则 # IPv4的网络中只有10.1.1.0/16和192.168.1.0/24允许访问,但192.168.1.1除外 # 对于IPv6的网络,只有2001:0db8::/32允许访问 # 在规则很多的情况下,使用ngx_http_geo_module模块变量更合适 location / { deny 192.168.1.1; allow 192.168.1.0/24; allow 10.1.1.0/16; allow 2001:0db8::/32; deny all; }
3.2 基于用户名的访问控制
主要事项
- ngx_http_auth_basic_module模块允许使用HTTP基本认证协议验证用户名/密码来限制对资源的访问
- 也可以通过IP地址或JWT来限制访问,使用satisfy指令就能同时通过地址和密码来限制访问
- auth_basic指令的参数off可以取消继承自上一个配置等级auth_basic指令的影响
- 密码应该使用crypt()函数加密,可以用htpasswd命令来创建此类文件,支持MD5、SHA-1等格式
提供指令
- auth_basic
- 语法格式:auth_basic string|off;
- 含义解释:开启基于用户名和密码的访问控制,string参数用纸指定名称
- 作用范围:http、server、location、limit_except
- 默认值是:auth_basic off;
- auth_basic_user_file
- 语法格式:auth_basic_user_file file;
- 含义解释:指定保存用户名和密码的文件
- 作用范围:http、server、location、limit_except
实例演示
# 用户名/密码文件存储格式 name1:password1 name2:password2:comment name3:password3
# 配置如下 location / { auth_basic "closed site"; auth_basic_user_file conf/htpasswd; } location /admin/ { root /www/b.org; auth_basic "admin area"; auth_basic_user_file /etc/nginx/.htpasswd; }
3.3 根据 JWT 的客户端授权
主要事项
- ngx_http_auth_jwt_module模块通过使用指定的键验证提供的JSON Web Token(即JWT)来实现客户端授权
- JWT声明必须以JSON Web Signature(即可JWS)结构编码
- JWT使用OpenID Connect作为身份认证方式
提供指令
- auth_jwt
- 语法格式:auth_jwt string [token=$variable] | off;
- 含义解释:使用JWT验证
- 作用范围:http、server、location
- 默认值是:auth_jwt off;
- auth_jwt_key_file
- 语法格式:auth_jwt_key_file file;
- 含义解释:指定一个文件在JWT签名验证的关键设置格式,参数值可以包含变量。
- 作用范围:http、server、location
实例演示
location / { auth_jwt "closed site"; auth_jwt_key_file conf/keys.json; }
3.4 建立超简单的下载站点
主要事项
- ngx_http_autoindex_module模块可以列出目录中的文件
- 一般当ngx_http_index_module模块找不到默认主页时,会把请求转给ngx_http_autoindex_module模块处理
提供指令
- autoindex
- 语法格式:autoindex on|off;
- 含义解释:开启或者关闭列出目录中文件的功能
- 作用范围:http、server、location
- 默认值是:autoindex off;
- autoindex_exact_size
- 语法格式:autoindex_exact_size on|off;
- 含义解释:设置目录中列出的文件是显示精确大小,还是对KB、MB、GB进行四舍五入
- 作用范围:http、server、location
- 默认值是:autoindex_exact_size on;
- autoindex_format
- 语法格式:autoindex_format html|xml|json|jsonp;
- 含义解释:设置目录列表的格式
- 作用范围:http、server、location
- 默认值是:autoindex_format html;
- autoindex_localtime
- 语法格式:autoindex_localtime on|off;
- 含义解释:设置目录中列出文件的时间是本地时间还是UTC时间
- 作用范围:http、server、location
- 默认值是:autoindeautoindex_localtime off;
实例演示
location / { autoindex on; }
3.5 防止网站非法盗链发生
Referer请求头为指定值时,内嵌变量$invalid_referer会被设置为空字符串,否则这个变量会被置成1,查找匹配时不区分大小写。
主要事项
- ngx_http_referer_module模块允许拦截Referer请求头中含有非法值的请求,阻止它们访问站点。
- 但伪造一个有效的Referer请求头是相当容易的, 因此预期目的不在于彻底地阻止这些非法请求,而是为了阻止由正常浏览器发出的大规模此类请求。还有一点需要注意,即使正常浏览器发送的合法请求,也可能没有Referer请求头。
提供指令
- valid_referers
- 语法格式:valid_referers none | blocked | server_names | string ...;
- 含义解释:定义引用规则
- 作用范围:server、location
- 指令参数
指令参数 | 指令含义 |
---|---|
none | 匹配没有Referer的HTTP请求 |
blocked | 匹配有Referer请求头,但是它的值被防火墙或者代理服务器删除;这些值都不以http://或者https://字符串作为开头 |
server_names | Referer请求头包含某个虚拟主机名 |
任意字符串 | 定义一个服务器名和可选的URI前缀;服务器名允许在开头或结尾使用*符号;当nginx检查时,Referer请求头里的服务器端口将被忽略 |
正则表达式 | 必须以~符号作为开头;需要注意的是表达式会从http://或者https://之后的文本开始匹配 |
实例演示
# 定义合规的引用 valid_referers none blocked server_names *.example.com example.* www.example.org/galleries/ ~.google.; # 拒绝不合规的引用 if ($invalid_referer) { return 403; }
# 所有来至mysite.com和二级域名的*.mysite.com都是允许访问的 # 以上配置都是简单通过验证请求头来实现防盗链,如果盗链的网站通过伪造来路的http请求时不能屏蔽 location ~ .(jpe?g|png|gif)$ { valid_referers none blocked mysite.com *.mysite.com; if ($invalid_referer) { return 403; } }
# 所有来至wsescape.com和域名中包含google和baidu的站点都可以访问到当前站点的图片 # 如果来源域名不在这个列表中,那么$invalid_referer等于1,在if语句中返回一个403给用户 # 如果使用下面的rewrite重写,那么盗链的图片都会显示403.jpg location /images/ { valid_referers none blocked *.wsescape.com server_names ~.google. ~.baidu.; if ($invalid_referer) { return 403; # rewrite ^/ http://www.wsescape.com/403.jpg; } }
3.6 服务连接的状态页面
主要事项
- ngx_http_stub_status_module模块提供对基本状态信息的访问
- 该模块默认情况下不安装,需要启用--with-http_stub_status_module参数
提供指令
- stub_status
- 语法格式:stub_status;
- 含义解释:定义状态页面
- 作用范围:server、location
# 当前所有处于打开状态的活动连接数 Active connections: 6 # 共处理了x个连接,成功建立了x个握手,总共处理了x个请求 server accepts handled request 241 241 431 # Reading: 正处于接受请求状态的连接数 # Writing: 请求已经接受完成,正处于处理请求或发送响应过程中的连接数 # Waiting: 持久连接模式且处于活动状态的连接数,意思就是nginx已经处理正在等待下一次请求指令的驻留连接,开启keep-alive时,该值等于active-(reading+writing) Reading: 0 Writing: 1 Waiting: 5
实例演示
# 配置状态页面 server { listen *:80 default_server; server_name wsescape.com; location /ngx_status { stub_status; access_log off; #allow 127.0.0.1; #deny all; } } # 重启服务 service nginx restart # 查看状态页面 Active connections: 11921 server accepts handled requests 11989 11989 11991 Reading: 0 Writing: 7 Waiting: 42
3.7 设置 URL 页面重定向
主要事项
- 用来执行URL重定向,该机制用于去掉恶意访问的URL而且有利于搜索引擎优化
- ngx_http_rewrite_module模块允许正则替换URI,返回页面重定向和按条件选择配置
处理规则
- 处理在server级别中定义的模块指令
- 为请求查找location
- 处理在选中的location中定义的模块指令
- 如果指令改变了URI,按新的URI查找location
- 这个循环至多重复10次,之后nginx返回错误500 (Internal Server Error)
提供指令
- if
- 语法格式:if (condition) { ... }
- 含义解释:匹配使用范围
- 作用范围:server、location
# condition条件类型 1. 变量名 变量值为空串或以0开始,则为false,其余均为true 2. 比较表达式 可以使用=、!=类似的比较操作符进行测试 3. 正则表达式 ~: 区分大小写的模式匹配检测,!~为取反 ~*: 不区分大小写的模式匹配检测,!~*为取反 4. 测试路径为文件 -f、!-f 5. 测试路径为目录 -d、!-d 6. 测试文件存在 -e、!-e 7. 检测文件是否又可执行权限 -x
- rewrite
- 语法格式:rewrite regex replacement [flag];
- 含义解释:如果指定的正则表达式能匹配URI,此URI将被replacement参数定义的字符串改写
- 作用范围:server、location、if
# last 本条规则匹配完成后,立即停止检查后续的其它rewrite的规则,而后通过重写后的规则重新发起请求 # break 本条规则匹配完成即终止,不再匹配后面的任何规则 # redirect 返回302临时重定向,浏览器地址会显示跳转后的URL地址 # permanent 返回301永久重定向,浏览器地址栏会显示跳转后的URL地址
表达式 | 解释说明 |
---|---|
^ | 锚定开头 |
$ | 锚定结尾 |
. | 匹配任意字符 |
[a-z] | 匹配指定字符集内的任意字符 |
[^] | 匹配任何不包括在指定字符集内的任意字符串 |
` | ` 匹配之前和之后的字符串 |
() | 分组;^(hello)(world)$分组捕获结果,$1为 hello,$2为 world |
- rewrite_log
- 语法格式:rewrite_log on|off;
- 含义解释:是否把重写过程记录以notice级别记录到错误日志中,默认为off
- 作用范围:http、server、location、if
- 默认值是:rewrite_log off
- return
- 语法格式:return code [text];、return code URL;、return URL;
- 含义解释:用于结束rewrite规则,并且为客户返回状态码
- 作用范围:server、location、if
实例演示
if ($http_cookie ~* "id=([^;]+)(?:;|$)") { set $id $1; } if ($request_method = POST) { return 405; } if ($slow) { limit_rate 10k; break; } if ($invalid_referer) { return 403; }
# 基于浏览器分离 if ($http_user_agent ~ Firefox) { rewrite ^(.*)$ /Firefox/$1 break; } if ($http_user_agent ~ Chrome) { rewrite ^(.*)$ /Chrome/$1 break; } if ($http_user_agent ~ MSIE) { rewrite ^(.*)$ /MSIE/$1 break; }
rewrite ^/images/(.*.jpg)$ /imgs/$1 break; rewrite ^/shop/(.*.html)$ /meishi/$1 break; rewrite ^/search/(.*) https://www.baidu.com/s?ie=UTF-8&wd=$1 redirect
server { ... rewrite ^(/download/.*)/media/(.*)..*$ $1/mp3/$2.mp3 last; rewrite ^(/download/.*)/audio/(.*)..*$ $1/mp3/$2.ra last; return 403; ... } # 上述指令应使用标志break代替last,否则nginx会重复10轮循环,然后返回错误500 location /download/ { rewrite ^(/download/.*)/media/(.*)..*$ $1/mp3/$2.mp3 break; rewrite ^(/download/.*)/audio/(.*)..*$ $1/mp3/$2.ra break; return 403; } # 如果replacement字符串包括新的请求参数,以往的请求参数会添加到新参数后面 # 如果不希望这样,在replacement字符串末尾加一个问号?,就可以避免 # 如果正则表达式中包含字符“}”或者“;”,整个表达式应该被包含在单引号或双引号的引用中。比如: rewrite ^/users/(.*)$ /show?user=$1? last;
4. 内置变量说明
内置变量 | 说明 |
---|---|
$args | 请求的参数值 |
$query_string | 同$args意思一致 |
$arg_NAME | GET请求中NAME值 |
$is_args | 如果请求中有参数,值为?,否则为空字符串 |
$uri | 请求中的当前URI(不带请求参数,参数位于$args),可以不同于浏览器传递的$request_uri的值,它可以通过内部重定向或者使用index指令进行修改,$uri不包含主机名,如/foo/bar.html |
$document_uri | 同$uri内置变量 |
$document_root | 当前请求的文档根目录或别名 |
$host | 优先级:HTTP请求行的主机名 > HOST请求头字段 > 符合请求的服务器名 = 请求中的主机头字段;如果请求中的主机头不可用,则为服务器处理请求的服务器名称 |
$hostname | 主机名 |
$https | 如果开启了SSL安全模式,值为on,否则为空字符串 |
$binary_remote_addr | 客户端地址的二进制形式,固定长度为4个字节 |
$body_bytes_sent | 传输给客户端的字节数,响应头不计算在内;这个变量和Apache的mod_log_config模块中的%B参数保持兼容 |
$bytes_sent | 传输给客户端的字节数 |
$connection | TCP连接的序列号 |
$connection_requests | TCP连接当前的请求数量 |
$content_length | Content-Length请求头字段 |
$content_type | Content-Type请求头字段 |
$cookie_name | cookie名称 |
$limit_rate | 用于设置响应的速度限制 |
$msec | 当前的Unix时间戳 |
$nginx_version | nginx版本 |
$pid | 工作进程的PID |
$pipe | 如果请求来自管道通信,值为p,否则为. |
$proxy_protocol_addr | 获取代理访问服务器的客户端地址,如果是直接访问,该值为空字符串 |
$realpath_root | 当前请求的文档根目录或别名的真实路径,会将所有符号连接转换为真实路径 |
$remote_addr | 客户端地址 |
$remote_port | 客户端端口 |
$remote_user | 用于HTTP基础认证服务的用户名 |
$request | 代表客户端的请求地址 |
$request_body | 客户端的请求主体:此变量可在location中使用,将请求主体通过proxy_pass,fastcgi_pass,uwsgi_pass和scgi_pass传递给下一级的代理服务器 |
$request_body_file | 将客户端请求主体保存在临时文件中。文件处理结束后,此文件需删除;如果需要之一开启此功能,需要设置client_body_in_file_only;如果将次文件传递给后端的代理服务器,需要禁用request body,即设置proxy_pass_request_body off,fastcgi_pass_request_body off,uwsgi_pass_request_body off,scgi_pass_request_body off |
$request_completion | 如果请求成功,值为OK,如果请求未完成或者请求不是一个范围请求的最后一部分,则为空 |
$request_filename | 当前连接请求的文件路径,由root或alias指令与URI请求生成 |
$request_length | 请求的长度 (包括请求的地址,http 请求头和请求主体) |
$request_method | HTTP请求方法,通常为GET或POST |
$request_time | 处理客户端请求使用的时间,单位为秒,精度毫秒;从读入客户端的第一个字节开始,直到把最后一个字符发送给客户端后进行日志写入为止 |
$request_uri | 这个变量等于包含一些客户端请求参数的原始URI,它无法修改,请查看$uri 更改或重写 URI,不包含主机名,例如:/cnphp/test.php?arg=freemouse |
$scheme | 请求使用的 Web 协议,”http” 或 “https” |
$server_addr | 服务器端地址,需要注意的是:为了避免访问linux系统内核,应将ip地址提前设置在配置文件中 |
$server_name | 服务器名 |
$server_port | 服务器端口 |
$server_protocol | 服务器的HTTP版本,通常为HTTP/1.0或HTTP/1.1 |
$status | HTTP响应代码 |
$time_iso8601 | 服务器时间的ISO 8610格式 |
$time_local | 服务器时间(LOG Format格式) |
$cookie_NAME | 客户端请求Header头中的cookie变量,前缀$cookie_加上cookie名称的变量,该变量的值即为cookie名称的值 |
$http_NAME | 匹配任意请求头字段;变量名中的后半部分 NAME 可以替换成任意请求头字段,如在配置文件中需要获取http请求头:Accept-Language,$http_accept_language即可 |
$http_cookie | 在nginx的配置文件中,可以通过$http_cookie来访问Cookie |
$http_host | 请求地址,即浏览器中你输入的地址(IP或域名) |
$http_referer | url跳转来源,用来记录从那个页面链接访问过来的 |
$http_user_agent | 用户终端浏览器等信息 |
$http_x_forwarded_for | 能保证网站的web服务器能获取到真实IP,即使中间有代理 |
5. 配置 HTTPS 服务
5.1 配置相关证书
# CA服务器 # 创建私钥 cd /etc/pki/CA (umask 077; openssl genrsa -out private/cakey.key 2048) # 创建自签证书 # 需要输入相关信息 openssl req -new -x509 -key private/cakey.key -out cacert.pem -days 365 # 创建必要文件 touch index.txt echo "01" > serial
# Nginx服务器 # 创建私钥 cd /etc/nginx/ssl (umask 077; openssl genrsa -out nginx.key 2048) # 创建证书签署请求 # 需要输入相关信息 openssl req -new -key nginx.key -out nginx.csr
# CA服务器 # CA签署证书请求 # 将Nginx服务器的请求发送到CA服务器进行签署 # 之后将签署的文件传送到/etc/nginx/ssl目录下配置nginx的ssl支持 openssl ca -in nginx.scr -out nginx.crt -days 365
5.2 修改配置文件
# Nginx服务器 vim /etc/nginx/conf/nginx.conf server { listen 443 ssl; server_name www.escapelife.com; ssl_certificate /etc/nginx/ssl/nginx.crt; ssl_certificate_key /etc/nginx/ssl/nginx.key; ssl_session_cache shared:SSL:1m; ssl_session_timeout 5m; ssl_ciphers HIGH:!aNULL:!MD5; ssl_prefer_server_ciphers on; location / { root /vhosts/web1; index index.html index.htm; } } ... # 重新加载配置文件 nginx -s reload