Nginx 服务用户与防盗链配置

# Filename: fenge.sh
day=$(date -d "-1 day" "+%Y%m%d") #显示前一天的时间
logs_path="/var/log/nginx"
pid_path="/usr/local/nginx/logs/nginx.pid"
[ -d $logs_path ] || mkdir -p $logs_path #创建日志文件目录
mv /usr/local/nginx/logs/access.log ${logs_path}/kgc.com-access.log-$day #移动并重命名日志文件
kill -USR1 $(cat $pid_path) #重建新日志文件
find $logs_path -mtime +30 -exec rm -rf {} \; #删除30天之前的日志文件
#find $logs_path -mtime +30 | xargs rm -rf

添加执行权限：chmod +x /usr/local/nginx/sbin/logrotate.sh。
设置定时任务（通过crontab每日凌晨执行）：

crontab -e

# 添加以下内容（每天1点执行）

0 1 * * * /usr/local/nginx/sbin/logrotate.sh

5. 连接超时时间

Nginx 通过超时时间控制客户端连接的生命周期，合理设置可避免无效连接占用服务器资源，尤其适用于高并发场景。

5.1 核心超时指令（配置在http或server块）

http {

...

keepalive_timeout 65 180; 三次握手的超时时间
client_header_timeout 80; 等待客户端发送请求头的超时时间会送408 错误
client_body_timeout 80; 设置客户端发送请求体的超时时间

...

}

#keepalive_timeout
指定KeepAlive的超时时间（timeout）。指定每个TCP连接最多可以保持多长时间，服务器将会在这个时间后关闭连接。 Nginx的默认值是65秒，有些浏览器最多只保持 60 秒，所以可以设定为 60 秒。若将它设置为0，就禁止了keepalive 连接。
第二个参数（可选的）指定了在响应头Keep-Alive:timeout=time中的time值。这个头能够让一些浏览器主动关闭连接，这样服务器就不必去关闭连接了。没有这个参数，Nginx 不会发送 Keep-Alive 响应头。

##client_header_timeout
客户端向服务端发送一个完整的 request header 的超时时间。如果客户端在指定时间内没有发送一个完整的 request header，Nginx 返回 HTTP 408（Request Timed Out）。

###client_body_timeout
指定客户端与服务端建立连接后发送 request body 的超时时间。如果客户端在指定时间内没有发送任何内容，Nginx 返回 HTTP 408（Request Timed Out）。

5.2 说明

超时时间需根据业务场景调整（如静态资源服务可设较短，文件上传服务可适当延长）。
keepalive_timeout过短会增加连接建立开销，过长可能浪费资源，建议 50-70 秒。

6. 更改进程数

Nginx 的工作进程（worker_processes）负责处理客户端请求，进程数设置是否合理直接影响并发处理能力。默认值为 1，需根据服务器 CPU 核心数调整。

6.1 配置方法

在主配置文件的全局块中修改：

# 自动匹配CPU核心数（推荐，无需手动计算）

worker_processes auto;

# 或手动指定（如4核CPU设为4）

# worker_processes 4;

6.2 优化建议

进程数通常设为与 CPU 核心数相同（避免进程切换开销）。
若服务器为多核 CPU，可结合worker_cpu_affinity绑定进程到特定核心（减少资源竞争）：

worker_processes 4; # 4核CPU

worker_cpu_affinity 0001 0010 0100 1000; # 分别绑定到1-4核（二进制表示）

7. 网页压缩

启用 Gzip 压缩可减小传输数据量（尤其是文本类资源，压缩率可达 50% 以上），加快页面加载速度，节省带宽。

7.1 配置方法（在http块中添加）

http {

...

gzip on; # 开启Gzip压缩

gzip_min_length 1k; # 文件大小超过1KB才压缩（小文件压缩收益低）

gzip_buffers 4 64k; # 压缩缓冲区大小

gzip_http_version 1.1; # 支持的HTTP版本

gzip_comp_level 5; # 压缩等级（1-9，等级越高压缩率越高，CPU消耗越大）

gzip_types text/plain text/css application/json application/javascript text/xml application/xml application/xml+rss text/javascript; # 需压缩的文件类型

gzip_vary on; # 向客户端发送Vary: Accept-Encoding头，告知支持压缩

...

}

7.2 验证

在Linux系统中，打开浏览器，右击点查看元素
选择网络 ---> 选择 HTML、WS、其他
访问 http://192.168.10.23 ，双击200响应消息查看响应头中包含 Content-Encoding: gzip

8. 配置防盗链

防盗链用于阻止其他网站直接引用本服务器的资源（如图片、视频），避免带宽被非法占用。其原理是通过验证请求的Referer（来源页面）判断是否为合法请求。

8.1 配置方法（在server块或location块中添加）

server {

...

location ~* \.(jpg|jpeg|png|gif|mp4)$ { # 对图片、视频等资源防盗链

root /usr/share/nginx/html;

# 允许自身域名和指定白名单域名访问（空Referer表示直接访问，如浏览器输入图片URL）

valid_referers none blocked server_names *.example.com;

# 非法请求返回403或指定替代图片

if ($invalid_referer) {

return 403; # 或rewrite ^/ /forbidden.png last;（返回自定义图片）

}

...

}

8.2 指令说明

valid_referers：定义合法的来源，none允许空 Referer，blocked允许被防火墙修改过的 Referer，server_names允许自身域名，*.example.com允许指定域名及子域名。
$invalid_referer：内置变量，当请求来源不在valid_referers中时为true。