多数nginx错配置会宣布自己.
你打字一个指令,失败,你修复它。
反馈回路很快,而且有效。
危险者不同.
配置是有效的 。
通过。
服务器开始,服务流量,记录 没什么不寻常的。
而你所配置的东西 静悄悄地没有发生。
我保留了gixy -ng, 一个静态分析器Nginx配置。
它的检查中,有越来越多的是针对这个类别的,因为事实证明,静态分析是在运行时无法产生信号的失败的唯一实际方法。
这里有四个值得知道的。
1.
OCSP为主食的树苗结构看起来不对。
这没什么用 OCSP stapling指nginx从CA本身取出证书的吊销状态并附在握手上,因此客户端不必.
要做到这一点,nginx必须向主机名发出出站请求. nginx 不使用系统解析器进行运行时间检查 。
它有自己的,它只有在配置它时才存在。
无范围表示主机名从未解决,接取也从未发生,分层被默默跳出.
您的配置测试通过。
你们的客户去做自己的 OCSP 检查, 这正是你开始 stapling 避免的。
使用本地解析器或您的云提供商的内部DNS.
说到这个 就会用清晰的文字从你的网络中 发出每个内部检查信息 这也是它自己的问题 请检查access-date=中的日期值 (帮助) 破碎的树苗指纹。
运行两次,因为重新装入后第一次握手通常会在取取出时在背景中被卸下.
有个警告说,现在要抓人:让我们加密在2025年8月停止为OCSP服务.
如果你的证书来自他们, 固定是去除, 而不是添加一个解析器。
2.
允许名单,允许每个人按顺序检查规则,并在第一次比赛时停止。
如果没有匹配,则允许访问。
因此,一个任意的互联网地址的请求不符合两个规则,从清单的末尾掉下来,并得到服务。
意图在人类的阅读中是显而易见的,对nginx来说是完全看不见的.
在允许后添加并有效.
更微妙的版本更会咬人.
访问规则只有在内部上下文定义无自在的情况下才能从外上下文继承.
因此,一个位置内部的单个会丢弃该位置的整个服务器级别规则,包括它的:你增加了一条规则来收紧访问,并让端点公开.
在你进入规则运行之前, 访问列表正确,完整,从未查阅. nginx 在命令阶段处理请求 。
生活在重写阶段。
并生活在进入阶段。
重写先行,立即终止请求,进入阶段永远不会发生.
文件中的位置无关紧要 。
移动到下方不会改变任何东西, 因为 nginx 不会在请求时将您的块上下读取 。
这是与"如果是邪恶"相同的根源:不同模块指令在不同阶段运行,顺序与文件的写法无关.
修补是通过内部重定向到达罐头响应,因此访问阶段获得运行的机会:在访问被评价后在内容阶段运行,所以被拒绝的客户在考虑内部重定向之前会得到403.
该行在那里是因为一个赤裸裸的支付每个候选人的每个文件系统查询费,gixy也旗下.
通过创造另一个发现来修复一个发现不是固定的。
4.
QUIC 连接在每次重载时死亡 这个是我最喜欢的, 一个真正的好虫子是最喜欢的。
三种成分: 在QUIC的收听器上,和不止一个工人.
一个人就没事 三个一起 大约一半的QUIC连接被悄悄地放弃了 存在是有正当理由的。
QUIC连接通过连接ID而不是由4-tuple在IP或端口变化后幸存下来,所以迁移的包可以降落在错误的工人上. nginx 将一个 eBPF 程序附加到读取连接的套接字组中