跨境独立站防跨站入侵Nginx站点隔离配置

如果你的跨境独立站服务器上部署了多个站点，一旦其中一个被攻破，攻击者很可能利用Nginx配置漏洞横向入侵其他站点。
通过站点隔离配置，可以有效阻断这种扩散风险。
下面从零开始讲清楚如何用Nginx为每个独立站建立隔离环境。

---

开始前需要准备什么

1. 一台安装了 Nginx 的 Linux 服务器（本文以 Ubuntu 22.04 / CentOS 7 为例）。
2. 拥有 root 权限或具备 sudo 执行权限。
3. 确认你的站点配置文件存放位置：常见路径有 /etc/nginx/sites-available/ 或 /etc/nginx/conf.d/。
4. 每个独立站对应一个独立的系统用户（推荐做法，后面会说明）。

如果你使用的是宝塔面板等可视化工具，同样可以手动修改配置文件达到隔离效果，但建议直接编辑 Nginx 配置文件掌握主动权。

---

站点隔离配置分步走

1. 为每个独立站创建专属运行用户

# 以站点 example.com 为例
sudo useradd -r -s /bin/false -m -d /home/example example

• -r 创建系统用户
• -s /bin/false 禁止登录
• -m -d 指定并创建家目录

这样每个站点的 PHP-FPM 进程和文件权限都能锁定在自己的用户下，避免相互读取。

2. 分配独立网站目录并设置权限

sudo mkdir -p /home/example/www
sudo chown -R example:example /home/example
sudo chmod 755 /home/example

重点： 所有站点文件不要放在 /var/www/html 这类公共目录下，每个站必须使用独立的根目录。

3. 修改 Nginx 站点配置文件，限制站点根目录

以 /etc/nginx/sites-available/example.com 为例：

server {
    listen 80;
    server_name example.com www.example.com;
    root /home/example/www;
    index index.php index.html;

    location / {
        try_files $uri $uri/ /index.php?$query_string;
    }

    location ~ \.php$ {
        fastcgi_pass unix:/var/run/php/example.sock;  # 注意使用独立 sock 或端口
        fastcgi_index index.php;
        fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
        include fastcgi_params;
    }

    # 关键：禁止访问其他站点目录
    location ~ ^/(\.\./|private) {
        deny all;
    }
}

重点参数：

• root 必须指向该站独有目录。
• try_files 配合 $uri/ 不会跨目录解析。
• location ~ ^/(\.\./|private) 直接拒绝包含 ../ 或敏感目录的请求。

4. 配置 php-fpm 的 open_basedir 隔离

编辑每个站点的 PHP-FPM pool 配置（如 /etc/php/8.1/fpm/pool.d/example.conf），添加：

php_admin_value[open_basedir] = /home/example/www/:/tmp/

这样 PHP 脚本只能读写自身站点目录和系统临时目录，无法访问其他站点文件。

5. 全局层面禁止跨站 location 跳转

在 /etc/nginx/nginx.conf 的 http 块中增加：

http {
    ...
    # 禁止通过 alias 或 try_files 跨目录
    disable_symlinks if_not_owner;
    ...
}

disable_symlinks 可防止通过符号链接跨站点访问。

---

易错点和避坑说明

1. alias 配置陷阱：尽量避免使用 alias 配合正则 location，容易引发路径穿越。如果必须用，请确保路径以 / 结尾。
2. PHP-FPM 使用相同 sock：如果多个站共享同一个 PHP-FPM socket，那么 open_basedir 配置会失效（因为共享的 pool 只能设置一个 open_basedir）。务必为每个独立站创建独立的 PHP-FPM pool 并监听不同 socket 或端口。
3. 配置文件重载前记得测试：每次修改后执行 nginx -t 检查语法，再 systemctl reload nginx。
4. 站点目录权限不要设为 777，建议 755 或 750。

---

如何验证隔离效果

方案一：从浏览器直接测试

在一个站的虚拟主机中，访问另一个站的路径（例如 http://siteA.com/../siteB/config.php），如果返回 403 或 404，说明禁止成功。

方案二：使用 curl 模拟

curl -v --path-as-is http://siteA.com/../../../etc/passwd

如果依然能读取到 /etc/passwd，说明配置不完善，需要检查 location 拦截和 root 设置。

方案三：检查 PHP 跨站文件读取

在站点 A 下创建一个 test.php：