在当今的互联网环境中，Web安全至关重要。其中，XSS（跨站脚本攻击）是最常见且危害极大的漏洞之一。攻击者通过在网页中注入恶意脚本，窃取用户 Cookie、会话信息，甚至控制用户浏览器。幸运的是，我们可以通过配置 Nginx 来有效缓解这类风险。本文将从零开始，教小白如何配置 Nginx 实现基础的 XSS 防护。
什么是XSS攻击？
XSS（Cross-Site Scripting）即跨站脚本攻击，是指攻击者向网页中注入恶意 JavaScript 代码，当其他用户访问该页面时，脚本会在其浏览器中执行，从而盗取敏感信息或进行其他恶意操作。例如：
<script>alert('XSS攻击！');</script>如果网站未对用户输入做过滤，这段代码就可能被执行。
Nginx 如何帮助防御 XSS？
虽然 Nginx 本身不是专门的 Web 应用防火墙（WAF），但通过合理配置 HTTP 响应头和请求过滤规则，可以显著提升 Nginx XSS防护 能力。以下是几个关键配置项：
1. 启用 Content-Security-Policy (CSP)
CSP 是一种强大的安全机制，可限制浏览器加载哪些资源（如脚本、样式、图片等），从而阻止内联脚本执行。
add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' https://trusted.cdn.com;";上面的配置表示：只允许加载来自当前域名（'self'）的资源；脚本还允许来自指定 CDN 的来源，并允许内联脚本（生产环境建议移除 'unsafe-inline'）。
2. 设置 X-XSS-Protection 响应头
该响应头可启用浏览器内置的 XSS 过滤器（主要适用于旧版 IE 和 Chrome）：
add_header X-XSS-Protection "1; mode=block";这行配置告诉浏览器：如果检测到 XSS 攻击，立即阻止页面加载。
3. 禁止上传或执行可疑文件类型
可以在 Nginx 中限制某些危险后缀的访问，比如 .php、.js（如果非必要）：
location ~* \.(php|pl|py|jsp|asp|sh|cgi)$ { deny all;}完整配置示例
下面是一个包含 防止跨站脚本攻击 的 Nginx 安全配置片段，你可以将其加入你的 server 块中：
server { listen 80; server_name example.com; # XSS 防护响应头 add_header X-XSS-Protection "1; mode=block"; add_header Content-Security-Policy "default-src 'self'; script-src 'self'; object-src 'none';"; add_header X-Content-Type-Options "nosniff"; # 禁止执行可疑脚本文件 location ~* \.(php|pl|py|jsp|asp|sh|cgi)$ { deny all; } location / { root /var/www/html; index index.html; }}重要提醒
虽然上述配置能增强 Nginx安全加固 效果，但不能完全替代应用层的安全措施。开发者仍需在后端对用户输入进行严格过滤、转义，并使用安全的编码实践。Nginx 配置只是纵深防御体系中的一环。
总结
通过合理配置 Nginx 的安全响应头和访问规则，我们可以有效降低 XSS 攻击的风险。本文介绍的 Web安全配置 方法简单易行，适合所有运维和开发人员参考。记得定期更新你的安全策略，并结合专业 WAF 工具（如 ModSecurity）实现更全面的防护。
关键词：Nginx XSS防护、Web安全配置、防止跨站脚本攻击、Nginx安全加固