Nginx进阶思维导图模板_ProcessOn思维导图、流程图

Nginx简介

定义

Nginx（“engin x”）是一个高性能的HTTP和反向代理服务器，也是一个IMAP/POP3/SMTP服务器

学习目标

1. 路由功能（微服务的前端体现）

2. 集群负载功能（横向扩展，提升并发能力）

3. 静态服务功能

正向代理和反向代理

正向代理

一个位于客户端和原始服务器之间的服务器，为了从原始服务器取得内容，客户端向代理发送一个
请求并指定目标（原始服务器），然后代理向原始服务器转交请求并将获得的内容返回给客户端

总结：代理客户端

反向代理（Reverse Proxy）

以代理服务器来接受internet上的连接请求，然后将请求转发给内部网络上的服务器，并将从服务器上
得到的结果返回给internet上请求连接的客户端，此时代理服务器对外就表现为一个反向代理服务器

总结：代理服务器

Nginx源码安装

依赖包

yum -y install pcre pcre-devel

yum -y install zlib zlib-devel

yum -y install openssl openssl-devel

过程

1. wget http://nginx.org/download/nginx-1.9.0.tar.gz

2. tar -zxvf nginx-1.9.0.tar.gz

3. cd nginx-1.9.0

4. ./configure --perfix=/usr/local/nginx --with-http_ssl_module（默认安装到/usr/local/nginx）

5. make && make install

目录结构

conf

放置配置文件

html

放置静态网页文件

logs

放置日志文件

sbin

放置二进制程序

Nginx启动和停止

Nginx启动

sbin/nginx

Nginx停止

sbin/nginx -s stop

Nginx重启

sbin/nginx -s reload

检测配置文件是否有错误

sbin/nginx -t

使用指定配置文件启动

sbin/nginx -c /usr/local/nginx/conf/nginx.conf

Nginx基础概念

Nginx进程

master

master主要管理worker进程

作用

接收来自外界的信号

向各worker进程发送信号

监控worker进程的运行状态

当worker进程退出后（异常情况下），会自动重启新的worker进程

worker

负责具体工作的进程

Nginx配置文件详解

user www www;

定义Nginx运行的用户和用户组

worker_processes 8;

Nginx进程数，建议设置为等于CPU总核心数

error_log /usr/local/nginx/logs/error.log info;

pid /usr/local/nginx/logs/nginx.pid;

进程pid文件

worker_rlimit_nofile 65535;

指定进程可以打开的最大描述符：数目

工作模式与连接数上限

这个指令是指当一个Nginx进程打开的最多文件描述符数目，理论值应该是最多打开文件数（ulimit -n）与Nginx进程数相除，
但是Nginx分配请求并不是那么均匀，所以最好与ulimit -n的值保持一致

现在在linux 2.6内核下开启文件打开数为65535，worker_rlimit_nofile就相应应该填写65535，这是因为Nginx调度时分配请求
到进程并不是那么的均衡，所以假如填写10240，总并发量达到3-4万时就有进程可能超过10240了，这时会返回502错误

events

use epoll;

是Linux 2.6以上版本内核中的高性能网络I/O模型，linux建议epoll，如果跑在FreeBSD上面，就用kqueue模型

事件模型

标准事件模型

select、poll属于标准事件模型，如果当前系统不存在更有效的方法，Nginx会选择select或poll

高效事件模型

kqueue：使用于FreeBSD 4.1+， OpenBSD 2.9+， NetBSD 2.0和MacOS X。使用双处理器的MacOS X系统使用kqueue可能会造成内核崩溃

epoll：使用于Linux内核2.6版本及以后的系统

/dev/poll：使用于Solaris 7 11/99+，HP/UX 11.22+ (eventport)，IRIX 6.5.15+和Tru64 UNIX 5.1A+

eventport：使用于Solaris 10。为了防止出现内核崩溃的问题，有必要安装安全补丁

worker_connections 65535;

单个进程最大连接数（最大连接数 = 连接数 * 进程数）

keepalive_timeout 60;

keepalive超时时间

client_header_buffer_size 4k;

客户端请求头部的缓冲区大小。可以根据系统分页大小来设置，一般一个请求头的大小不超过1k，由于一般系统分页都要大于1k，所以这里设置为分页大小

分页大小可以用命令getconf PAGESIZE 取得

但也有client_header_buffer_size超过4k的情况，但是client_header_buffer_size该值必须设置为“系统分页大小”的整倍数

open_file_cache max=65535 inactive=60s;

这个将为打开文件指定缓存，默认是没有启用的，max指定缓存数量，建议和打开文件数一致，inactive是指经过多长时间文件没被请求后删除缓存

open_file_cache_valid 80s;

指多长时间检查一次缓存的有效信息

语法：open_file_cache_valid time 默认值：open_file_cache_valid 60 使用字段：http，server，location 这个指令指定了何时需要检查open_file_cache中缓存项目的有效信息

open_file_cache_min_uses 1;

open_file_cache指令中的inactive参数时间内文件的最少使用次数，如果超过这个数字，文件描述符一直是在缓存中打开的，如上例，如果有一个文件在inactive时间内一次没被使用，它将被移除

语法：open_file_cache_min_uses number 默认值：open_file_cache_min_uses 1 使用字段：http，server，location 这个指令指定了在open_file_cache指令无效的参数中一定的时间范围内可以使用的最小文件数，如果使用更大的值，文件描述符在cache中总是打开状态

open_file_cache_errors on;

语法：open_file_cache_errors on | off 默认值：open_file_cache_errors off 使用字段：http，server，location 这个指令指定是否在搜索一个文件是记录cache错误

http

include mime.types;

文件扩展名与文件类型映射表

default_type application/octet-stream;

默认文件类型

#charset utf-8

默认编码

server_names_hash_bucket_size 128;

服务器名字的hash表大小

保存服务器名字的hash表是由指令server_names_hash_max_size和server_names_hash_bucket_size所控制的。参数hash bucket size总是等于hash表的大小，并且是一路处理器缓存大小的倍数。在减少了在内存中的存取次数后，使在处理器中加速查找hash表键值成为可能。如果hash bucket size等于一路处理器缓存的大小，那么在查找键的时候，最坏的情况下在内存中查找的次数为2。第一次是确定存储单元的地址，第二次是在存储单元中查找键值。因此，如果Nginx给出需要增大hash max size或hash bucket size的提示，那么首要的是增大前一个参数的大小

client_header_buffer_size 32k;

客户端请求头部的缓冲区大小。这个可以根据你的系统分页大小来设置，一般一个请求的头部大小不会超过1k，不过由于一般系统分页都要大于1k，所以这里设置为分页大小。分页大小可以用命令getconf PAGESIZE取得

large_client_header_buffers 4 64k;

客户请求头缓冲大小。Nginx默认会用client_header_buffer_size这个buffer读取header值，如果header过大，它会使用large_client_header_buffers读取

client_max_body_size 8m;

设定通过Nginx上传文件的大小

sendfile on

开启高效文件传输模式，sendfile指令指定Nginx是否调用sendfile函数来输出文件，对于普通应用设为 on，如果用来进行下载等应用磁盘IO重负载应用，可设置为off，以平衡磁盘与网络I/O处理速度，降低系统的负载。注意：如果图片显示不正常把这个改成off

autoindex on;

开启目录列表访问，适合下载服务器，默认关闭

tcp_nopush on;

此选项允许或禁止使用socket的TCP_CORK的选项，此选项仅在使用sendfile的时候使用

tcp_nodelay on;

keepalive_timeout 120;

长连接超时时间，单位是秒

gzip on;

开启gzip压缩输出

gzip_min_length 1k;

最小压缩文件大小

gzip_buffers 4 16k;

压缩缓冲区

gzip_http_version 1.0;

压缩版本（默认1.1，前端如果是squid2.5请使用1.0）

gzip_comp_level 2;

压缩等级

gzip_types text/plain application/x-javascript text/css application/xml;

压缩类型

gzip_vary on;

limit_zone crawler $binary_remote_addr 10m;

开启限制IP连接数的时候需要使用

server

listen 80;

监听端口

server_name www.w3cschool.cn w3cschool.cn;

监听域名，域名可以有多个，用空格隔开

log_format main '$remote_addr - $remote_user [$time_local] "$request" '
'$status $body_bytes_sent "$http_referer" '
'"$http_user_agent" $http_x_forwarded_for';
access_log /usr/local/nginx/logs/host.access.log main;

定义本虚拟主机的访问日志

参数

$remote_addr

客户端的IP地址（代理服务器，显示代理服务IP）

$remote_user

用于记录远程客户端的用户名称（一般为“-”）

$time_local

用于记录访问时间和时区

$request

用于记录请求的url以及请求方法

$status

相应状态码

$body_bytes_sent

给客户端发送的主体内容字节数

$http_user_agent

用户所使用的代理（一般为浏览器）

$http_x_forwarded_for

可以记录客户端IP，通过代理服务器来记录客户端的IP地址

$http_referer

可以记录用户是从哪个链接访问过来的

location

匹配url连接

Nginx虚拟主机

定义：服务器主机分成一台台“虚拟”的主机，每台虚拟主机都可以是一个独立的网站，同一台主机上的虚拟主机之间是完全独立的

location配置规则

location语法

location [=|~|~*|^~] uri { … }

location标识符

=

精确匹配：用于标准uri前，要求请求字符串和uri严格匹配。如果匹配成功就停止匹配，立即执行该location里面的请求

~

正则匹配：用于正则uri前，表示uri里面包含正则，并且区分大小写

~*

正则匹配：用于正则uri前，表示uri里面包含正则，不区分大小写

^~

非正则匹配；用于标准uri前，Nginx服务器匹配到前缀最多的uri后就结束，该模式匹配成功后，不会使用正则匹配

无

普通匹配（最长字符匹配）；与location顺序无关，是按照匹配的长短来取匹配结果。若完全匹配，就停止匹配

location匹配优先级

= 精确匹配会第一个被处理。如果发现精确匹配，Nginx停止搜索其他匹配

普通字符匹配，正则表达式规则和长的块规则将被优先和查询匹配，也就是说如果该项匹配还需去看有没有正则表达式匹配和更长的匹配

^~ 则只匹配该规则，Nginx停止搜索其他匹配，否则Nginx会继续处理其他location指令

最后匹配理带有"~"和"~*"的指令，如果找到相应的匹配，则Nginx停止搜索其他匹配；当没有正则表达式或者没有正则表达式被匹配的情
况下，那么匹配程度最高的逐字匹配指令会被使用

location工作流程

location工作流程图

rewrite详解

语法

rewrite regex replacement[flag];

定义

rewrite是实现URL重定向的重要指令，它根据regex（正则表达式）来匹配内容跳转到replacement，结尾是flag标记

正则表达式

\

将后面接着的字符标记为一个特殊字符或者一个原义字符或一个向后引用

^

匹配输入字符串的起始位置

$

匹配输入字符串的结束位置

*

匹配前面的字符零次或者多次

+

匹配前面字符串一次或者多次

?

匹配前面字符串的零次或者一次

.

匹配除“\n”之外的所有单个字符

(pattern)

匹配括号内的pattern

flag参数

last

本条规则匹配完成后继续向下匹配新的location URI规则

break

本条规则匹配完成后终止，不在匹配任何规则

redirect

返回302临时重定向

permanent

返回301永久重定向

Nginx内置变量

参考：最新版Nginx内置变量

Nginx if语句判断条件

1. 正则表达式匹配

==

等值比较

~

与指定正则表达式模式匹配时返回“真”，判断匹配与否时区分字符大小写

~*

与指定正则表达式模式匹配时返回“真”，判断匹配与否时不区分字符大小写

!~

与指定正则表达式模式不匹配时返回“真”，判断匹配与否时区分字符大小写

!~*

与指定正则表达式模式不匹配时返回“真”，判断匹配与否时不区分字符大小写

2. 文件及目录匹配判断

-f，!-f

判断指定的路径是否为存在且为文件

-d，!-d

判断指定的路径是否为存在且为目录

-e，!-e

判断指定的路径是否存在，文件或目录均可

-x，!-x

判断指定路径的文件是否存在且可执行

Nginx解决跨域问题

1. 设置允许域名白名单

if ( $http_origin ~ http://(.*).xxx.com ) {
set $allow_url $http_origin;
}

2. 设置参数

add_header Access-Control-Allow-Credentials true;

是否允许请求带有验证信息

add_header Access-Control-Allow-Origin $allow_url;

允许跨域访问的域名，可以是一个域的列表，也可以是通配符*

add_header Access-Control-Allow-Headers 'x-requested-with,content-type,Cache-Control,Pragma,Date,x-timestamp';

允许脚本访问的返回头

add_header Access-Control-Allow-Methods 'POST,GET,OPTIONS,PUT,DELETE';

允许使用的请求方法，以逗号隔开

add_header Access-Control-Expose-Headers 'WWW-Authenticate,Server-Authorization';

允许自定义的头部，以逗号隔开，大小写不敏感

add_header P3P 'policyref="/w3c/p3p.xml",CP="NOT DSP PSAa OUR BUS IND ONL UNI COM NAV INT LOC"';

p3p支持跨域cookie操作

add_header test 1

3. options预校验请求处理

if ($request_method = 'OPTIONS') {
return 204;
}

Nginx防盗链

盗链定义：盗链是指服务提供商自己不提供服务的内容，通过技术手段绕过其它有利益的最终用户界面（如广告），直接在自己的网站上向最终用户提供其它服务提供商的服务内容，骗取最终用户的浏览和点击率，受益者不提供资源或提供很少的资源，而真正的服务提供商却得不到任何的收益

盗链害处：网站盗链会大量消耗被盗链网站的带宽，而真正的点击率也许会很小，严重损害了被盗链网站的利益

盗链分类

图片盗链

音频盗链

视频盗链

文件盗链

防盗链定义：Web应用防火墙通过实现URL级别的访问控制，对客户端请求进行检测，如果发现图片、文件等资源信息的HTTP请求来自于其它网站，则阻止盗链请求，节省因盗用资源链接而消耗的带宽和性能

Nginx中设置防盗链的方式

location ~* \.(gif|jpg|png|bmp)$ {
valid_referers none blocked;
if ($invalid_referer) {
return 403;
#rewrite ^/ http://www.ttlsa.com/403.jpg;
}
}

第一行：定义了当访问资源为gif/jpg/png/bmp文件

第二行：valid_referers这个关键字定义了白名单

第三行：invalid_referer是内置变量，通过判断上一行中的valid_referers值会返回0或者1，none代表请求头中没有referer信息，这一般是直接在浏览器输入图片网址，blocked代表被防火墙过滤标记过的请求

第四行：如果访问来源不在白名单内，则返回403错误

第五行：可以通过设定指定的图片来代替目标图片

Nginx缓存

指定缓存位置

http {
  proxy_cache_path /data/nginx/cache keys_zone=one:10m max_size=10g;
  server {
  proxy_cache one;
}
}

proxy_cache_path

指定缓存位置、缓存名称、内存中缓存内容元数据信息大小限制、缓存总大小限制。缓存位置是一个目录应先创建好，Nginx并不会帮我们创建这个缓存目录

proxy_cache

指定使用前面设置的缓存名称

指定哪些请求被缓存

http {
server {
location / {
proxy_cache_min_uses 5;
proxy_cache_methods GET HEAD POST;
proxy_cache_key "$host$request_uri$cookie_user";
}
}
}

Nginx默认会缓存所有get和head方法的请求结果，缓存的key默认使用请求字符串

可以自定义key，例如proxy_cache_key “hosthosthostrequest_uri$cookie_user”

指定请求至少被发送了多少次以上时才缓存，可以防止低频请求被缓存，例如：proxy_cache_min_uses 5;

指定哪些方法的请求被缓存，例如 proxy_cache_methods GET HEAD POST;

指定缓存有效期

http {
server {
location / {
#expires 1d;
proxy_cache_valid 200 302 10m;
}
}
}

响应状态码为200 302时，10分钟有效 proxy_cache_valid 200 302 10m;

对应任何状态码，5分钟有效 proxy_cache_valid any 5m;

如果使用Nginx作为静态资源服务器，那么可以使用expires进行页面缓存（浏览器缓存）过期控制

指定哪些请求不被缓存

http {
server {
location / {
proxy_cache_bypass $cookie_nocache $arg_nocache$arg_comment;
}
}
}

proxy_cache_bypass 该指令响应来自原始服务器而不是缓存，如果任何一个参数值不为空或者不等0，Nginx就不会查找缓存，直接进行代理转发

Nginx压缩

gzip on;

开启gzip压缩输出

gzip_min_length 1k;

设置允许压缩的页面最小字节数，页面字节数从header头的content-length中获取。默认值是0，不管页面多大都进行压缩。
建议设置成大于1k。如果小于1k可能会越压越大

gzip_buffers 4 16k;

压缩缓冲区大小。表示申请4个单位为16k的内容作为压缩结果流缓存，默认值是申请与原始数据大小相同的内存空间来存储gzip压缩结果

gzip_http_version 1.0;

压缩版本（默认1.1，前端为squid2.5时使用1.0）用于设置识别http协议版本，默认是1.1，目前大部分浏览器已经支持gzip解压，使用默认即可

gzip_comp_level 2;

压缩比率。用来指定gzip压缩比，1压缩比量小，处理速度快；9压缩比量大，传输速度快，但处理最慢，也必将消耗cpu资源

gzip_types text/plain application/x-javascript text/css application/xml;

用来指定压缩的类型，“text/html”类型总是会被压缩

gzip_vary on;

vary header支持。该选项可以让前端的缓存服务器缓存经过gzip压缩的页面，例如用squid缓存经过Nginx压缩的数据

注意

大于1k的纯文本文件html、js、css、xml、html可以被压缩

图片，视频等不要压缩，因为不但不会减小，在压缩时消耗cpu和内存资源

Nginx添加https证书

创建ssl域名证书

创建服务器私钥

openssl genrsa -des3 -out server.key 1024

创建签名请求证书（CSR）

openssl req -new -key server.key -out server.csr

在加载SSL支持的Nginx并使用上述私钥时除去必须的口令

openssl rsa -in server.key -out server_nopaas.key

最后标记证书使用上述私钥和CSR

openssl x509 -req -days 365 -in server.csr -signkey server_nopaas.key -out server.crt

在conf配置文件中添加ssl配置信息

http {
server {
listen 443 ssl;
ssl_certificate /etc/nginx/conf.d/server.crt;
ssl_certificate_key /etc/nginx/conf.d/server_nopass.key;
}
}

对80端口进行重定向

http {
server {
listen 80;
rewrite ^/ https://www.xxx.com redirect;
}
}

注意

在https里，ajax请求普通http，会发生报错（会降低https的安全标准）

需要把所有域名请求均转为https