喵栈

SSL证书

Mon, 10 Aug 2026 00:00:00 GMT

需求和目的#

首先来一张图片。我们大家肯定或多或少都访问过这样的网站，网站没有加密，导致出现安全提醒。如果是你搭建的网站肯定也是不希望你的用户看到这样的界面的，否则可能就会和当时的你一样选择直接关掉网站。除此之外，我们自用的一些服务也会用到证书，比如说你的Nas的公网访问等等。那么这篇文章就是用来解决这个问题的。

写在前面

证书的申请与部署分为两种方式：终端命令行和WebUI工具。其中命令行工具运行在debian12中，WebUI工具则是基于Docker部署的。终端命令行工具为 acme.sh， WebUI工具为 Certimate

证书颁发机构

目前推荐的免费证书颁发机构只有三个：Let’s Encrypt，ZeroSSL，Google Trust Servirce。三家机构颁发证书的区别见文章末尾附录。本文演示的证书颁发机构为Let’s Encrypt。

acme.sh 申请证书#

acme.sh 是一个运行在linux终端的证书申请脚本用来申请免费的SSL证书。

安装#

如果你的服务器位于中国大陆地区，那么需要先在终端执行下面这行命令，用来修改host。

zsh

1
echo -e "185.199.111.154 github.githubassets.com\n140.82.113.22 central.github.com\n185.199.108.133 desktop.githubusercontent.com\n185.199.109.133 camo.githubusercontent.com\n185.199.109.133 github.map.fastly.net\n151.101.193.194 github.global.ssl.fastly.net\n140.82.116.3  gist.github.com\n185.199.110.153 github.io\n140.82.116.4  github.com\n140.82.116.5  api.github.com\n185.199.110.133 raw.githubusercontent.com\n185.199.110.133 user-images.githubusercontent.com\n185.199.110.133 favicons.githubusercontent.com\n185.199.109.133 avatars5.githubusercontent.com\n185.199.110.133 avatars4.githubusercontent.com\n185.199.108.133 avatars3.githubusercontent.com\n185.199.108.133 avatars2.githubusercontent.com\n185.199.109.133 avatars1.githubusercontent.com\n185.199.111.133 avatars0.githubusercontent.com\n185.199.111.133 avatars.githubusercontent.com\n140.82.116.10 codeload.github.com\n52.217.229.201  github-cloud.s3.amazonaws.com\n52.216.185.51 github-com\n.s3.amazonaws.com\n52.217.225.81 github-production-release-asset-2e65be.s3.amazonaws.com\n52.217.120.41 github-production-user-asset-6210df.s3.amazonaws.com\n3.5.28.232  github-production-repository-file-5c1aeb.s3.amazonaws.com\n185.199.111.153 githubstatus.com\n185.199.109.133 media.githubusercontent.com\n185.199.108.133 objects.githubusercontent.com\n185.199.109.133 raw.github.com\n138.91.182.224  copilot-proxy.githubusercontent.com" > /etc/hosts

安装必要软件

zsh

1
sudo apt install -y cron curl socat openssl git

通过git下载acme.sh包

zsh

1
git clone https://github.com/acmesh-official/acme.sh.git

进入安装目录
zsh
```
1
cd ./acme.sh
```

执行安装

zsh

1
./acme.sh --install -m myemail@example.com      #这里天蝎你自己的邮箱

重启终端以启用命令
zsh
```
1
source ~/.bashrc
2
```
```
启用脚本自动更新
zsh
```
1
acme.sh --upgrade --auto-upgrade
```

配置#

证书颁发机构配置#

提示

acme.sh 刚下载好之后默认的证书颁发机构为ZeroSSL，如果希望使用此机构那么不用做修改

切换 acme.sh 请求的证书颁发机构的命令如下：

zsh

1
acme.sh --set-default-ca --server letsencrypt  #将默认的证书颁发机构改成Let's Encrypt
2
acme.sh --set-default-ca --server zerossl      #将默认的证书颁发机构改成ZeroSSL
3
acme.sh --set-default-ca --server google       #将默认的证书颁发机构改成Google Public CA

为acme.sh证书颁发机构账号认证配置#

提示

Let’s Encrypt无需账号配置，不需要邮箱或者密钥认证
ZeroSSL账号配置（推荐我的这种方式，尽量不要用邮箱）; 需要先到ZeroSSL官网中注册账户，并在Developer中创建EAB Credentials for ACME Clients
GTS的证书申请密钥是一次性的，所以要随用随取，不过一旦证书申请成功，自动续期时仍然可用。

ZeroSSL

zsh

1
acme.sh --register-account --server zerossl \
2
--eab-kid xxxxxxxxxxxx \
3
--eab-hmac-key xxxxxxxxx

Google Trust Servirce
1. 需要先拥有一个Google Cloud Platform（GCP）账号，然后进入控制台左上角新建/选择一个项目
2. 在顶部搜索栏搜索并进入Public Certificate Authority API 之后点击启用
3. 再之后点击右上角shell图标进入Cloud Shell使用以下命令获取 EAB 密钥 ID 和 HMAC
4. 谷歌EAB密钥使用一次或者七天后自动失效，所以每次申请证书的时候都要来获取一次密钥，但续费不用
GCP Shell-进入项目设置
```
1
gcloud config set project projectID
```
GCP Shell-申请密钥
```
1
gcloud publicca external-account-keys create
```
1. 在acme.sh中设置GCP 账号和项目密钥eab-kid是[申请到的 keyId]，eab-hmac-key是[申请到的 b64MacKey]
zsh
```
1
acme.sh --register-account -m myemail@example.com --server google \
2
--eab-kid xxxxxxx \
3
--eab-hmac-key xxxxxxx
```

申请证书#

提示

申请证书为了方便全都使用dns令牌的方式，以在cloudflare做dns为例。

提示

可以把dns令牌写入 ~/.acme.sh/account.conf,但我推荐以下方式。Cloudflare的Token申请方式不在本文讲解范围内可自行查询

其他常见dns供应商配置，参见文章末尾附录

在终端中使用全局变量的方式传入你的CFtoken
zsh
```
1
export CF_Token="your cf token"
```

申请证书通配符证书

zsh

1
acme.sh --issue --dns dns_cf \
2
-d *.example.com \
3
-d example.com \
4
--keylength ec-256

单个二级域名证书

zsh

1
 acme.sh --issue --dns dns_cf \
2
 -d exp.example.com \
3
 --keylength ec-256

提示

默认情况下证书存放在 ~/.acme.sh/example.com/目录下

安装/部署证书#

提示

在本地环境中，我一般是使用Nginx作为Web服务器和反向代理的工具，所以此处就以Nginx为例。

使用以下命令将证书与密钥安装到指定目录，并在证书安装后重启Nginx服务末尾的 --reloadcmd 这个参数就是在安装证书之后要执行的命令。

zsh

1
acme.sh --install-cert -d *.example.com --ecc \
2
--key-file /etc/nginx/certified/example.com/example.key \
3
--fullchain-file /etc/nginx/certified/example.com/fullchain.cer \
4
--reloadcmd "systemctl reload nginx"

提示

acme.sh拥有Webhook能力，可以将证书部署到远程服务器，Webhost，CDN平台等能力，具体的远程部署方式和本地部署方式大相径庭，我这里就以七牛云为例。

假设你是要将泛域名证书部署到七牛云，并且你已经在七牛云创建了密钥。那么可以直接执行一下命令。

传入密钥与加速域名的变量

zsh

1
export QINIU_AK="your AK"
2
export QINIU_SK="your SK"
3
export QINIU_CDN_DOMAIN="cdn1.example.com cdn2.example.com"

部署证书

zsh

1
 acme.sh --deploy -d *.example.com --deploy-hook qiniu

更多平台的部署方式可以参考官方文档

Web工具申请证书#

使用Web工具进行证书管理不是必须的，但是我认为有一定的必要性，所以在文章中简单做一下讲解。

必要性#

方便操作，WebUI中的操作其实相比较与命令行终端肯定更加方便。
方便控制额度，免费证书颁发机构在GTS中有每个项目1000张证书的限制，而另外两个机构有速率限制，Web管理工具可以很方便的做到本地一张证书部署多个平台，而这个功能在命令行终端的操作比较复杂。
安全性，这也是最重要的一点。现在互联网上有很多扫SSL证书的脚本，这会给攻击者提供便利，直接扫描你的SSL证书申请的IP就能锁定你的源站。而Web管理工具完全可以搭建在自己家里的内网，然后部署到VPS，可以在一定程改上改善被攻击的情况。

安装部署Certimate#

提示

Certimate不是唯一拥有证书申请和部署的工具，但是它是专注于证书申请、部署和管理的工具。

提示

Certimate最便利的使用方式就是通过Docker安装，我并不推荐二进制安装方式。Docker的应用与配置不在本文的介绍范围内。我这里依然采用命令行终端的方式作为示范。

在你自己配置Docker的目录创建用于存放Certimate的文件夹。并拉取Certimate的镜像。
zsh
```
1
 mkdir -p /etc/dockerApp/Certimate
```
zsh
```
1
docker pull certimate/certimate:latest
```

在Certimate中创建并编辑docker-compose.yml文件

1
nvim docker-compose.yml

写入以下docker配置文件

/etc/dockerApp/Certimate/docker-compose.yml

1
docker run -d \
2
--name certimate \
3
--restart unless-stopped \
4
-p 8090:8090 \
5
-v /etc/localtime:/etc/localtime:ro \
6
-v /etc/timezone:/etc/timezone:ro \
7
-v $(pwd)/data:/app/pb_data \
8
certimate/certimate:latest

提示

容器的默认访问端口是8090，创建成功之后在浏览器中输入 http://127.0.0.1:8090 来访问Certimate的Web管理界面。

简单配置与使用#

访问web地址如果你看到下面的节目那就说明你成功了。填入出事的管理员账号和密码

账号： admin@certimate.fun
密码： 1234567890

登陆进来之后首先到系统设置->账号 处修改默认的账号和密码。

接下来到授权凭据处点击右上角的新建授权，添加你的DNS提供商

提示

在证书颁发机构的授权中如果你依然想要使用Let’s Encrypt为你颁发证书，那么此处不同添加证书授权凭据，其他的办法机构按情况添加授权。

添加完授权凭据之后到工作流中新建工作流，选择，标准业务流程。然后你就会看到下面的界面

在开始节点选择定时触发，这里会让你写CRON表达式来设定工作流之后每一次出发的时间节点。你可以按照自己的需求写，不会的话可以找AI写表达式

忽略尝试执行节点

在申请证书节点，选择域名证书；在这里你可以配置多项参数。域名这里我推荐直接写泛域名。大多数参数你按照自己的需求和实际情况填写就行，这里我只说几个需要注意或者我推荐的配置项。

质询方式：DNS-01
密钥算法：EC256（仅推荐，你要按照你的需求选）
阻止 CSR 包含主题通用名称：打开
阻止 CNAME 跟随：打开
阻止 ARI 续期：打开

在部署节点选择你要部署的目标平台。由于不同的目标平台的配置不统一，不再一一列举。不同目标平台的授权凭据与域名选择不在本文的介绍范围内。

至此，Certimate的工作流建立完成。建立完成后，点击右上角的发布更改即可保存，同时不要忘记启用工作流。我这里建议手动运行一次检查是否有配置错误的情况

提示

如果你需要在失败的时候收到通知可以选择通知节点进行配置。

附录#

证书颁发机构#

CA名称	ZeroSSL(acme.sh默认)	Let’s Encrypt(使用最广泛，最推荐)	Google Public CA(谷歌提供的免费CA)
特点	90天有效期 ✅ 通配符支持 ✅ 无速率限制 🚫 通过邮箱或EAB强制验证 ✅自动续期不占用额度 ✅单证书验证域名数：100	90天有效期 ✅ 通配符支持 🚫速率：50张/域名/ ✅ 无需账户/邮箱验证 ✅自动续期不占用额度 ✅单证书验证域名数：100	90天有效期 ✅ 通配符支持 🚫速率：100张/小时 🚫 通过GCP项目EAB强制认证 ✅自动续期不占用额度 ✅单证书验证域名数：100 ✅ 集成谷歌云服务 🚫项目账户申请证书 🚫限制：1000张/项目

常见DNS供应商配置#

机构	dns参数	token令牌命令（必须在申请证书之前操作）
Cloudflare	dns_cf	CF_Token=“your cf token”
腾讯云	dns_dp	export DP_Id=“123456” export DP_Key=“abcdef”
阿里云	dns_ali	export Ali_Key=“123456” export Ali_Secret=“abcdef”
华为云	dns_huawei	export HUAWEICLOUD_Username="" export HUAWEICLOUD_Password="" export HUAWEICLOUD_DomainName=""
GoDaddy	dns_gd	export GD_Key=""export GD_Secret=""
DigitalOcean	dns_dgon	export DO_API_KEY=””
netcup	dns_netcup	export NC_Apikey="" export NC_Apipw=""export NC_CID=””
Vultr DNS	dns_vultr	export VULTR_API_KEY=""
AWS Route53	dns_aws	export AWS_ACCESS_KEY_ID="" export AWS_SECRET_ACCESS_KEY=""
Google Cloud DNS	dns_gcloud	export CLOUDSDK_ACTIVE_CONFIG_NAME=default
Namecheap	dns_namecheap	export NAMECHEAP_USERNAME=”…“ export NAMECHEAP_API_KEY=”…“ export NAMECHEAP_SOURCEIP=”…” # 必须添加
Hurricane Electric	dns_he	export HE_Username="" export HE_Password=""
Porkbun	dns_porkbun	export PORKBUN_API_KEY=”…“ export PORKBUN_SECRET_API_KEY=”…”

Nginx基础指南

Sun, 09 Aug 2026 00:00:00 GMT

写在前面

仅基于最新版本的Nginx；同时服务器系统是debian12及debian系衍生版本都可以使用，如果是其他发行版可能需要您自行查阅相关个性化命令。

简单理解反向代理与Nginx#

简单来说，代理就是中介；网络代理自然就是客户端和服务端之前的中介。而反向代理就是运行在服务端中的中介程序。通俗的讲，反向代理就是一个经典的语文句式：如果······那么······。例如：如果收到了www.example.com这个请求那么返回localhost<8191这个端口号运行的程序>。而Nginx就是负责处理并优化这一句如果······那么······ 这个句式的一个程序。

Note

不过在这里必须说一下，Nginx本身是一个Web服务器，只是它在反向代理方面的卓越性能导致了大家都把它当作反向代理工具来使用的。

Info

Nginx区分究竟要当反向代理工具还是当作Web服务器来使用其实有一个很简单的方式：Nginx可以直接托管（尤其是静态文件）网站的时候，那么Nginx就是Web服务器；如果Nginx无法直接读取后端文件，需要将用户的请求转发给后端的Web服务器，后端服务器处理请求后返回给Nginx，那么它就要做一个反向代理工具。

安装Nginx#

必要性

各个Linux发行版/Windows中尽量按照官网的操作步骤下载最新的Nginx版本，因为旧版本最大的问题就是存在各种漏洞，而这些漏洞也在最新版本中被恢复。我这里用debian12的系统作为演示。

debian官方软件包仓库的Nginx并非最新版本所以需要通过下列步骤一一下载，其他操作系统可能也存在此类问题，可以在官方文档中查看具体步骤。

下载密钥

zsh

1
sudo apt install curl gnupg2 ca-certificates lsb-release debian-archive-keyring

配置官方存储库

zsh

1
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] \
2
http://nginx.org/packages/debian `lsb_release -cs` nginx" \
3
    | sudo tee /etc/apt/sources.list.d/nginx.list

设置固定存储库

zsh

1
echo -e "Package: *\nPin: origin nginx.org\nPin: release o=nginx\nPin-Priority: 900\n" \
2
    | sudo tee /etc/apt/preferences.d/99nginx

更新软件包然后安装Nginx

zsh

1
sudo apt update

zsh

1
sudo apt install nginx

认识Nginx文件夹#

如果你也是debian系发行版那么你在刚刚过下载好Nginx的时候，文件结构就应该是下面这个样子：

zsh

1
/etc/nginx/
2
├── conf.d
3
├── fastcgi_params
4
├── mime.types
5
├── modules -> /usr/lib/nginx/modules
6
├── nginx.conf
7
├── scgi_params
8
└── uwsgi_params

在这里，nginx.conf是Nginx的主配置文件，不过我们一般情况下是不会在这个文件里面去编写我们的反向代理配置，我们依然遵循模块化的原则。具体配置步骤我会在本文后面讲述。

我们的网站如果需要开启https加密，那么我们就需要证书。证书的使用在服务器中也是交给Nginx的。为了方便使用我一般都会选择的Nginx中直接创建一个文件夹用来存放证书。比如：certificate 文件夹。

配置Nginx#

配置中的提前声明

在这一部分中，我们模拟有两个本地服务需要我们使用Nginx来部署上线。两个服务分别使用server1 和 server2来作为别名。配置文件中的内容在下一步骤中讲述。

两个本地服务：

server1->server1.conf->直接通过端口访问的服务：localhost<7890>
server2->server2.conf->通过入口文件来访问的服务：这里以typecho博客来作为演示

配置Nginx有两种方式，哪种都可以具体取决于你的喜好以及你本地的服务数量和管理难度

第一种配置文件存放方式。#

第一种配置方式，我们直接在conf.d文件夹中创建我们需要代理的服务的配置文件就可以。在/etc/nginx/conf.d中创建两个服务的配置文件。

zsh

1
touch server1.conf server2.conf

在Nginx根目录中的nginx.conf这个配置文件会自动启动/etc/nginx/conf.d这个文件夹中的所有配置文件。

第二种配置文件存放方式。#

第二种配置文件存放方式是使用sites文件夹配置并搭配软链接的方式进行管理配置文件。在Nginx的根目录创建两个配置文件：

zsh

1
mkdir -p /etc/nginx/sites-available
2
mkdir -p /etc/nginx/sites-enabled

编辑Nginx根目录中的nginx.conf文件，在https块内添加以下内容：

/etc/nginx/nginx.conf

1
http {
2
   # ... 其他配置 ...
3
   include /etc/nginx/conf.d/*.conf;
4
   include /etc/nginx/sites-enabled/*;  # 添加这一行
5
}

我们需要在sites-available这个文件夹中创建配置文件，并通过ln命令为其中的配置文件创建软链接到sites-enabled文件夹。创建配置文件

zsh

1
cd /etc/nginx/sites-available
2
touch server1.conf server2.conf

创建软链接（创建软链接必须使用绝对路径）

zsh

1
ln -s /etc/nginx/sites-available/server1.conf /etc/nginx/sites-enabled
2
ln -s /etc/nginx/sites-available/server2.conf /etc/nginx/sites-enabled

这两种配置的添加方式都可以正常生效不同的是如果你有很多项目需要管理，那么第一种方式只能新增或删除，如果将来需要将删除的项目添加回来只能新建，不便于管理。而sites方式则可以保持原来的项目不动，如果需要删除项目直接在sites-enabled中删除，如果将来需要重新添加，那么只需要重新创建软链接即可。

配置文件示例#

本地服务为通过本地端口直接访问的服务：

1
# 强制HTTP重定向到HTTPS（Force SSL）
2
server {
3
    listen 80;
4
    listen [::]:80;
5
    server_name exp.example.com;        # 改为你的域名
6
    return 301 https://$host$request_uri;  # 自动跳转HTTPS
7
}
8

9
# 主HTTPS服务配置
10
server {
11
    listen 443 ssl;
12
    listen [::]:443 ssl;
13
    http2 on;                      #开启http2支持
14
    server_name exp.example.com;
15

16
    # SSL证书配置
17
    ssl_certificate certificate/example.com/fullchain.cer;     # 替换为你的证书路径
18
    ssl_certificate_key certificate/example.com/example.key;   # 替换为你的私钥路径
19

20
    ssl_protocols TLSv1.2 TLSv1.3;
21
    ssl_ciphers HIGH:!aNULL:!MD5;
22

23
    # 安全防护配置（Block common exploits）
24
    add_header X-Frame-Options "SAMEORIGIN" always;     # 防点击劫持
25
    add_header X-XSS-Protection "1; mode=block" always; # 防XSS攻击
26
    add_header X-Content-Type-Options "nosniff" always; # 防MIME嗅探
27
    add_header Referrer-Policy "strict-origin" always;   # 控制referrer信息泄露
28
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always; # 强制HTTPS增强
29

30
    # 主请求代理配置
31
    location / {
32
        proxy_pass http://127.0.0.1:3001;   # 自定义后端服务地址
33
        proxy_http_version 1.1;
34
        proxy_set_header Host $host;
35
        proxy_set_header X-Real-IP $remote_addr;
36
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
37
        proxy_set_header X-Forwarded-Proto $scheme;
38
        proxy_set_header Upgrade $http_upgrade;
39
        proxy_set_header Connection "upgrade";
40
    }
41
}

展开收起

本地服务为入口文件的方式（直接用我的typecho博客的配置文件）：使用本地入口文件的方式配置Nginx其实已经有相当大一部分是作为Web服务器的功能来使用了，需要匹配的就是本地入口文件的路径。

注意

使用入口文件的方式可能会出现权限问题，如果有此类问题核心思路就是确保Nginx有访问入口文件的权限

Info

下面这个配置文件，我们可以看到有上下紧邻的两行代码：root /WEB/typecho; index index.php index.html; 这本来应该是Nginx作为Web服务器时候的常用配置；但是下面这个配置中，有另外两行上下紧邻的代码：fastcgi_pass unix:/run/php/php7.4-fpm.sock; fastcgi_index index.php;；这里Nginx正是自己读取不了php文件无法自己直接托管，所以将代理转发给运行协议为fastcgi的php7.4-fpm.sock这个进程，fastcgi_pass就是协议代理的配置，所以尽管下面的配置中明确配置了后端文件路径，后端文件匹配正则等，但是最终要通过代理进行转发，那么它依然是一个Nginx作为反向代理工具的配置，而不是Web服务器的配置。

1
# 强制HTTP重定向到HTTPS（Force SSL）
2
server {
3
    listen 80;
4
    listen [::]:80;
5
    # 此处注意，如果使用A/AAAA方式配置 IP回源CDN这里要写CDN域名
6
    server_name exp.example.com;        # 改为您的域名
7
    return 301 https://$host$request_uri;  # 自动跳转HTTPS
8
}
9

10
# 主HTTPS服务配置
11
server {
12
    listen 443 ssl;
13
    listen [::]:443 ssl;
14
    http2 on;                      #开启http2支持
15
    # 此处注意，如果使用A/AAAA方式配置 IP回源CDN这里要写CDN域名
16
    server_name exp.example.com;    ## 改为您的域名
17

18
    proxy_cookie_path / "/; HTTPOnly; Secure";
19

20
    # SSL证书配置
21
    ssl_certificate certificate/exp.example.com/fullchain.cer;     # 替换为您的证书路径
22
    ssl_certificate_key certificate/exp.example.com/exp.example.com.key;   # 替换为您的私钥路径
23

24
    ssl_protocols TLSv1.2 TLSv1.3;
25
    ssl_ciphers HIGH:!aNULL:!MD5;
26
    ssl_session_cache shared:SSL:10m;
27
    ssl_session_timeout 1d;
28
    ssl_session_tickets off;
29

30
    server_tokens off;
31
    autoindex off;
32

33
    client_max_body_size 20m;
34

35
    add_header X-Frame-Options "SAMEORIGIN" always;
36
    add_header X-Content-Type-Options "nosniff" always;
37
    add_header Referrer-Policy "strict-origin-when-cross-origin" always;
38

39
    # HSTS（确认 HTTPS 正常后再保留）
40
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
41

42
    # 必须单行，避免 HTTP2 协议错误
43
    add_header Content-Security-Policy "default-src 'self' https:; script-src 'self' 'unsafe-inline' 'unsafe-eval' https:; style-src 'self' 'unsafe-inline' https:; img-src 'self' data: https:; font-src 'self' data: https:; connect-src 'self' https:; frame-ancestors 'self'; object-src 'none'; base-uri 'self'; form-action 'self';" always;
44

45
    add_header Permissions-Policy "geolocation=(), microphone=(), camera=(), payment=()" always;
46

47
    if ($request_method !~ ^(GET|HEAD|POST)$) {
48
        return 403;
49
    }
50

51

52
    # 主请求代理配置
53
    root /var/www/typecho;
54
    index index.php index.html;
55
    charset utf-8;
56

57
    location ~ /\.(?!well-known).* {
58
        deny all;
59
    }
60

61
    location ~* \.(db|sqlite|sqlite3|db3|sql|wal|shm)$ {
62
        deny all;
63
    }
64

65
    location ~* \.(ini|conf|log|sh|bak|env)$ {
66
        deny all;
67
    }
68

69
    location ~* /(usr/uploads|uploads|files|backup|temp)/.*\.(php|php5|phtml|phar)$ {
70
        deny all;
71
    }
72

73
    location ~* \.(jpg|jpeg|png|gif|ico|css|js|webp|svg|woff|woff2)$ {
74
        expires 30d;
75
        access_log off;
76

77
        add_header Cache-Control "public";
78
    }
79

80
    location / {
81
        try_files $uri $uri/ /index.php?$args;
82
    }
83

84
    location ~* /(composer\.(json|lock)|package\.json|yarn\.lock|\.git) {
85
        deny all;
86
    }
87

88
    # =====================================================
89
    # 日志
90
    # =====================================================
91
    access_log /var/log/nginx/site_access.log;
92
    error_log  /var/log/nginx/site_error.log;
93

94
location ~ \.php$ {
95
    # 开启 PATHINFO 支持
96
    fastcgi_split_path_info ^(.+?\.php)(/.*)$;
97
    set $path_info $fastcgi_path_info;
98

99
    # 如果文件不存在直接返回404
100
    try_files $fastcgi_script_name =404;
101

102
    # 传递 PHP 脚本给 PHP-FPM
103
    fastcgi_pass unix:/run/php/php7.4-fpm.sock;
104
    fastcgi_index index.php;
105

106
    include fastcgi_params;
107

108
    # 使用cname方式配置cdn那么这里要配置一下cdn域名。
109
    # 使用a/aaaa方式的IP回源方式的CDN ， CDN域名就是访问域名，要在上面的server_name位置配置
110
    # fastcgi_param HTTP_HOST cdn.example.com;
111

112
    # 传递 PATH_INFO 和 PATH_TRANSLATED
113
    fastcgi_param PATH_INFO       $path_info;
114
    fastcgi_param PATH_TRANSLATED $document_root$path_info;
115
    fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
116
}
117

118
    location ~ /\.ht {
119
        deny all;
120
    }
121
}

展开收起

回收开头

可以仔细查看中类型的配置文件，我们文章开头说过反向代理就是如果······那么······ 的句式。而在配置文件中他们是这样的：

/etc/nginx/conf.d/example.conf展开收起

1
# 强制HTTP重定向到HTTPS（Force SSL）
2
server {
3
    listen 80;
4
    listen [::]:80;
5
    server_name exp.example.com;        # 改为您的域名
6
    return 301 https://$host$request_uri;  # 自动跳转HTTPS
7
}
8

9
# 主HTTPS服务配置
10
server {
11
    这里就是如果
12

13
    location / {
14
    # 这里就是那么
15
  }
16
}

展开收起

也就是说那么是作为如果的一部分进行输出的。

常用命令#

Terminal window

1
# 检查nginx配置是否有错误
2
nginx -t
3

4
# nginx启动
5
nginx
6

7
# nginx重启
8
nginx -s reload