Nginx是支持世界上所有網站三分之一的Web服務器。因為輕巧，模塊化，用戶友好的配置格式以強大的反向代理能力，Nginx迅速取代其他Web服務器成了互聯網上最常用Web服務器之。作為一個門戶和對外暴露的入口，Nginx也是Web服務在保障企業服務在性能和安全方面功不可沒，雖然Nginx也暴露過一些漏洞（比如CVE-2013-4547,CVE-2017-7529，CVE-2018-16843/16844,CVE-2019-9516和CVE-2020-12440等），但是基本上都無法直接（難于）利用。但是沒有漏洞，不等于不能被利用（同樣有漏洞，不等于可以利用）。Nginx最大的安全問題并不是其安全漏洞，而是在運維上面，尤其是錯誤配置導致的問題。本文我們就介紹nginx 配置指令之location使用。

前言

location 指令是http模塊中非常重要的配置指令之一，Location是Nginx中的塊級指令(block directive),通過配置Location指令塊，可以決定客戶端發過來的請求URI如何處理（是映射到本地文件還是轉發出去）及被哪個location處理

server { 
	listen 80; 
	server_name localhost; 
	location / { 
	}
	location /abc{
	}
	 ... 
 }

location

用來設置請求的 URI

配置策略

• uri變量是待匹配的請求字符串，可以不包含正則表達式，也可以包含正則表達式；
• nginx服務器在搜索匹配location的時候，是先使用不包含正則表達式進行匹配，找到一個匹配度最高的一個，然后在通過包含正則表達式的進行匹配；
• 如果能匹配到直接訪問，匹配不到，就使用剛才匹配度最高的那個location來處理請求；

具體屬性介紹

1、不帶符號

要求必須以指定模式開始

server {
	listen 80;
	server_name 127.0.0.1;
	location /abc {
		default_type text/plain;
		return 200 "access success";
	}
}

在這種情況下，只要是以 /abc開頭的都能被匹配到，以下訪問都是正確的

http://IP/abc
http://IP/abc?p1=TOM
http://IP/abc/
http://IP/abcdef

2、“=?”

= ：用于不包含正則表達式的uri前，必須與指定的模式精確匹配

server {
	listen 80;
	server_name 127.0.0.1;
	location = /abc {
		default_type text/plain;
		return 200 "access success";
	}
}

在這種情況下，訪問的路徑必須是以 /abc開頭才能正確被訪問，如下是正常的，

?但是如果換成其他的路徑，就不對了

3、“~ ”

• ~ ： 用于表示當前uri中包含了正則表達式，并且區分大小寫 ~*: 用于表示當前uri中包含了正則表達式，并且不區分大小寫；
• 換句話說，如果uri包含了正則表達式，需要用上述兩個符合來標識；

配置案例

server {
	listen 80;
	server_name 127.0.0.1;
	location ~^/abc\w$ {
		default_type text/plain;
		return 200 "access success";
	}
}
server {
	listen 80;
	server_name 127.0.0.1;
	location ~*^/abc\w$ {
		default_type text/plain;
		return 200 "access success";
	}
}

^~: 用于不包含正則表達式的 uri 前，功能和不加符號的一致，唯一不同的是，如果模式匹配，那么就停止搜索其他模式了。