在Web服务器配置中，通过Nginx限定域名是一项至关重要的安全与管理措施，它能够确保服务流量仅来自授权的域名，防止恶意域名解析带来的安全风险，同时提升网站的专业性和可控性，本文将详细介绍Nginx限定域名的实现原理、配置方法、常见场景及注意事项,帮助读者全面掌握这一技能。
限定域名的核心作用
限定域名的核心在于“精准控制访问入口”，当服务器部署多个网站或提供API服务时，若不限制域名，攻击者可能通过恶意域名指向服务器IP，实现跨站请求伪造、资源盗用等攻击，通过Nginx配置，可强制要求客户端只能通过指定域名访问，非法域名请求将被直接拦截或重定向，有效保障服务安全，限定域名还能避免搜索引擎因重复内容（如IP直接访问与域名访问并存）导致的排名下降问题,优化SEO表现。
基于server_name的域名限定基础配置
Nginx通过server_name指令实现域名匹配，这是限定的核心，在server块中，server_name用于定义虚拟主机绑定的域名，Nginx根据请求头中的Host字段与server_name的匹配结果选择处理配置,基础语法如下：
server {
listen 80;
server_name example.com www.example.com; # 指定授权域名
root /var/www/html;
index index.html;
}
在此配置中，只有当请求的Host为example.com或www.example.com时，Nginx才会匹配此server块并返回对应资源，若请求的域名未在server_name中定义，Nginx将根据listen指令的配置返回默认错误页面（如404）或交由default_server处理。
精确匹配与通配符匹配规则
Nginx的server_name支持多种匹配模式，理解其优先级对精准限定域名至关重要：
- 精确匹配：优先级最高，如
server_name example.com会优先匹配完全一致的Host请求。 - 通配符匹配：以开头或结尾的域名，如
*.example.com可匹配所有子域名（如test.example.com），但只能出现在开头或结尾，且不能同时出现在两端（如*test.com无效）。 - 正则表达式匹配：以开头，支持更灵活的域名匹配，如
~^www\d+\.example\.com$匹配以www开头后跟数字的子域名。
示例配置：
server {
listen 80;
server_name ~^www\d+\.example\.com$; # 正则匹配www数字子域名
# 其他配置
}
server {
listen 80;
server_name *.example.org; # 通配符匹配所有example.org子域名
# 其他配置
}
强制HTTPS与域名限定结合
在生产环境中，通常需要强制通过HTTPS访问，同时限定域名，可通过301重定向实现，将HTTP请求及非授权域名统一跳转至合法HTTPS域名,配置如下：
server {
listen 80;
server_name example.com www.example.com bad.com; # bad.com为测试非法域名
return 301 https://$host$request_uri; # 强制跳转HTTPS，保留原路径
}
server {
listen 443 ssl http2;
server_name example.com www.example.com;
ssl_certificate /etc/nginx/ssl/example.com.crt;
ssl_certificate_key /etc/nginx/ssl/example.com.key;
location / {
root /var/www/html;
index index.html;
}
}
此配置中，所有HTTP请求（包括非法域名bad.com）会被强制跳转至https://example.com或https://www.example.com,确保访问来源合法且加密。
多域名与泛域名配置场景
当需要支持多个主域名或泛域名时，需合理规划server_name以避免冲突。
- 多独立域名：为每个域名配置单独的
server块，如example.com和test.com分别指向不同网站根目录。 - 泛域名支持：若需匹配所有子域名，可使用通配符，并通过
$host变量获取实际请求域名，动态指向对应目录，示例：server { listen 80; server_name *.example.com; root /var/www/$host; # 根据子域名动态匹配目录 index index.html; }test.example.com的请求会指向/var/www/test.example.com目录,实现泛域名解析。
安全加固：防止非法域名解析
为防止恶意域名通过CDN或本地hosts文件指向服务器，可结合server_name严格校验Host头，并配置if指令拦截非法请求，仅允许example.com和www.example.com访问：
server {
listen 80;
server_name _; # 默认匹配所有未定义域名
return 444; # Nginx自定义错误码，直接关闭连接
}
server {
listen 80;
server_name example.com www.example.com;
if ($host !~* ^(example\.com|www\.example\.com)$) {
return 403; # 拒绝非授权域名访问
}
# 其他配置
}
需注意，if指令在Nginx中存在使用限制，过度使用可能影响性能，建议优先通过server_name精确匹配实现控制。
常见问题与解决方案
- 域名匹配失败返回404：检查
server_name是否拼写错误，或是否存在优先级更高的server块（如精确匹配的配置）。 - 泛域名无法匹配：确认通配符格式正确（如
*.example.com而非*example.com），并避免与精确域名冲突。 - HTTPS强制跳转无限循环：确保
server块中listen 443配置的server_name与跳转目标一致，避免因域名不匹配导致循环重定向。
Nginx限定域名是保障Web服务安全与规范的重要手段，通过合理配置server_name、结合HTTPS强制跳转、严格校验Host头，可有效防范非法访问风险，在实际操作中，需根据业务场景选择匹配模式，注意配置优先级，并结合日志监控（如access.log中的Host字段）及时排查异常请求，正确的域名限定不仅能提升服务器安全性，还能优化用户体验,为Web服务的稳定运行奠定基础。
