摘要：啟用或禁用反應是否啟用壓縮響應報文不是所有瀏覽器都支持壓縮機制設置一個響應的壓縮級別。可接受的值在到之間。

http://wiki.nginx.org/HttpUpstreamConsistentHash
http://wiki.nginx.org/HttpUpstreamFairModule
http://wiki.nginx.org/HttpUpstreamRequestHashModule
http://www.web-polygraph.org/

1、server { … } #配置一個虛擬主機；

        Default:—

        Context:http

server {   # 配置虛擬主機示例
    listen address[:PORT]|PORT;
    server_name SERVER_NAME;
    root /PATH/TO/DOCUMENT_ROOT;
}

===========================================================================

2、listen PORT|address[:port]|unix:/PATH/TO/SOCKET_FILE #定義虛擬主機所監聽的端口

    listen address[:port] [default_server] [ssl] [http2 | spdy]  [backlog=number] [rcvbuf=size] [sndbuf=size]

    Default:listen *:80 | *:8000;

    Context:server

default_server：設定為默認虛擬主機；

ssl：限制僅能夠通過ssl連接提供服務；

backlog=number：后援隊列長度；

rcvbuf=size：接收緩沖區大小；

sndbuf=size：發送緩沖區大小

===========================================================================

3、server_name name …; #指明虛擬主機的主機名稱；后可跟多個由空白字符分隔的字符串；

    Default:server_name “”;

    Context:server

指明虛擬主機的主機名稱；后可跟多個由空白字符分隔的字符串；

支持通配任意長度的任意字符；server_name .rookie.com www.rookie.*

支持~起始的字符做正則表達式模式匹配；server_name ~^wwwd+.rookie.com$

匹配機制：

(1) 首先是字符串精確匹配

(2) 左側*通配符

(3) 右側*通配符

(4) 正則表達式

===========================================================================

4、tcp_nodelay on | off; #在keepalived模式下的連接是否啟用TCP_NODELAY選項；將多個小包打包成一個報文發送給客戶端

tcp_nopush on|off;

在sendfile模式下，是否啟用TCP_CORK選項

    Default:tcp_nodelay on;

    Context:http, server, location

===========================================================================

5、sendfile on | off; #是否啟用sendfile功能；

    Default:sendfile off;

    Context:http, server, location, if in location

===========================================================================

6、root path; #設置web資源路徑映射；用于指明用戶請求的url所對應的本地文件系統上的文檔所在目錄路徑；可用的位置：http, server, location, if in location

    Default:root html;

    Context:http, server, location, if in location

===========================================================================

7、location [ = | ~ | ~* | ^~ ] uri { … } #在一個server中location配置段可存在多個，用于實現從uri到文件系統的路徑映射；ngnix會根據用戶請求的URI來檢查定義的所有location，并找出一個最佳匹配，而后應用其配置

location @name { … }

    Default:—

    Context:server, location

=：對URI做精確匹配；例如, http://www.rookie.com/, http://www.rookie.com/index.html

        location = / {

            …

        }

~：對URI做正則表達式模式匹配，區分字符大小寫

~*：對URI做正則表達式模式匹配，不區分字符大小寫

^~：對URI的左半部分做匹配檢查，不區分字符大小寫

不帶符號：匹配起始于此uri的所有的url

匹配優先級：=, ^~, ～/～*，不帶符號

===========================================================================

8、alias path; #定義路徑別名，文檔映射的另一種機制；僅能用于location上下文

    Syntax: alias path;

    Default:—

    Context:location

注意：location中使用root指令和alias指令的意義不同

(a) root，給定的路徑對應于location中的/uri/左側的/

(b) alias，給定的路徑對應于location中的/uri/右側的/

/下除禁止172.16.252.245訪問外，其它都允許

[root@nginx1 /etc/nginx/conf.d]#vim vhost1.conf

server {
        listen 80;
        server_name www.ilinux.io;
        root /data/nginx/vhost1;
        location / {
                deny 172.16.250.217;/      #下除禁止172.16.252.245訪問
                allow all;                           #其它都允許
        }
}
[root@nginx2 ~]#vim /etc/hosts           #做域名解析
172.16.254.217  www.ilinux.io
[root@nginx2 ~]#curl http://www.ilinux.io



403 Forbidden
nginx/1.10.2

===========================================================================

禁止172.16.252.245訪問所有jpg|png結尾格式的圖片

[root@nginx1 /etc/nginx/conf.d]#vim vhost1.conf
server {
        listen 80;
        server_name www.ilinux.io;
        root /data/nginx/vhost1;
        location ~* .(jpg|png)$ {
                deny 172.16.250.217;    #禁止172.16.252.245訪問所有jpg|png結尾格式的圖片
                allow all;                        #其余的都允許訪問
        }
}
[root@nginx2 ~]#curl http://www.ilinux.io    # 因為不是訪問jpg|png結尾格式的圖片，所以能顯示內容
Nginx Vhost1
[root@nginx1 /data/nginx/vhost1]#find /usr/share/ -iname "*.jpg" -exec cp {} ./ ;  # 拷貝圖片到當前路徑下
 

![clipboard.png](/img/bVTIWl)

[root@nginx2 ~]#curl http://www.ilinux.io/leaf.jpg     



403 Forbidden
nginx/1.10.2

===========================================================================

相對location之外的，在location中定義的生效

[root@nginx1 /etc/nginx/conf.d]#vim vhost1.conf
server {
        listen 80;
        server_name www.ilinux.io;
        root /data/nginx/vhost1;
        location / {
                root /data/nginx/vhost2;     #相對于root /data/nginx/vhost1;在location中定義的生效，如不定義root,則繼承root /data/nginx/vhost1;
                allow all;
        }
        location ~* .(jpg|png)$ {
                deny 172.16.250.217;
                allow all;
        }
}
[root@nginx2 ~]#curl http://www.ilinux.io/index.html
vhost2

===========================================================================

[root@nginx1 /data/nginx/vhost1]#mkdir images
[root@nginx1 /data/nginx/vhost1]#mv 2560x1600.jpg astronaut.jpg background.jpg images/
[root@nginx1 /data/nginx/vhost1]#nginx -t
nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
nginx: configuration file /etc/nginx/nginx.conf test is successful
[root@nginx1 /data/nginx/vhost1]#nginx -s reload
 
![clipboard.png](/img/bVTIWc)

===========================================================================

[root@nginx1 /data/nginx/vhost1]#mkdir /data/pictures/
[root@nginx1 /data/nginx/vhost1]#cp cat-eye.jpg day.jpg energy-arc.jpg /data/pictures/
[root@nginx1 /etc/nginx/conf.d]#vim vhost1.conf
server {

    listen 80;
    server_name www.ilinux.io;
    root /data/nginx/vhost1;
    location / {
            #root /data/nginx/vhost2;
            allow all;
    }
    location ~* .(jpg|png)$ {
            deny 172.16.250.217;
            allow all;
    }
    location /images/ {
            root /data/pictures/;相當于在/下找images
    }

}
[root@nginx1 /data/nginx/vhost1]#nginx -t
[root@nginx1 /data/nginx/vhost1]#nginx -s reload

[root@nginx1 /data/nginx/vhost1]#mkdir /data/pictures
[root@nginx1 /data/nginx/vhost1]#cp cat-eye.jpg day.jpg energy-arc.jpg /data/pictures/
[root@nginx1 /etc/nginx/conf.d]#vim vhost1.conf
server {

    listen 80;
    server_name www.ilinux.io;
    root /data/nginx/vhost1;
    location / {
            #root /data/nginx/vhost2;
            allow all;
    }
    location ~* .(jpg|png)$ {
            deny 172.16.250.217;
            allow all;
    }
    location ^~/images/ {
            root /data/pictures/;
    }

}
[root@nginx1 /data/nginx/vhost1]#nginx -t
[root@nginx1 /data/nginx/vhost1]#nginx -s reload

===========================================================================

[root@nginx1 /etc/nginx/conf.d]#vim vhost1.conf
server {

    listen 80;
    server_name www.ilinux.io;
    root /data/nginx/vhost1;
    location / {
            #root /data/nginx/vhost2;
            allow all;
    }
    location ~* .(jpg|png)$ {
            deny 172.16.250.217;
            allow all;
    }
    location ^~/images/ {
            alias /data/pictures/;
    }

}

===========================================================================

9、index file …; #默認主頁面定義

    Default:index index.html;

    Context:http, server, location

===========================================================================

10、error_page code … [=[response]] uri; #定義默認錯誤頁面

    Default:—

    Context:http, server, location, if in location

[root@nginx1 /etc/nginx/conf.d]#vim vhost1.conf
server {

    listen 80;
    server_name www.ilinux.io;
    root /data/nginx/vhost1;
    location / {
            #root /data/nginx/vhost2;
            allow all;
    }
    location ~* .(jpg|png)$ {
            deny 172.16.250.217;
            allow all;
    }
    location ^~/images/ {
            alias /data/pictures/;
    }
    error_page 404 /notfound.html;         #如果是404就在notfound.html中
    location = /notfound.html {               #如果訪問notfound.html
            root /data/nginx/error_pages;    #錯誤頁面就在/data/nginx/error_pages/notfound.html中
    }

}
[root@nginx1 /etc/nginx/conf.d]#mkdir /data/nginx/error_pages
[root@nginx1 /etc/nginx/conf.d]#vim /data/nginx/error_pages/notfound.html

--------------------

notfound

===========================================================================

11、try_files file … uri;

===========================================================================

12、keepalive_timeout timeout [header_timeout]; #設定保持連接的超時時長，0表示禁止長連接；默認為75s

    Default:keepalive_timeout 75s;

    Context:http, server, location

===========================================================================

13、keepalive_requests number; #在一次長連接上所允許請求的資源的最大數量，默認為100（使用默認值即可）

    Default:keepalive_requests 100;

    Context:http, server, location

===========================================================================

14、keepalive_disable none | browser …; #對哪種瀏覽器禁用長連接

    Default:keepalive_disable msie6;

    Context:http, server, location

===========================================================================

15、send_timeout time; #向客戶端發送響應報文的超時時長，是指兩次寫操作之間的間隔時長

如客戶端發送請求后，由于斷電等等原因，無法接收到服務器發送的報文

    Default:send_timeout 60s;

    Context:http, server, location

===========================================================================

16、client_body_buffer_size size; #用于接收客戶端請求報文的body部分的緩沖區大小；默認為16k；超出此大小時，其將被暫存到磁盤上的由client_body_temp_path指令所定義的位置

    Default:client_body_buffer_size 8k|16k;

    Context:http, server, location

===========================================================================

17、client_body_temp_path path [level1 [level2 [level3]]]; #設定用于存儲客戶端請求報文的body部分的臨時存儲路徑及子目錄結構和數量

    Default:client_body_temp_path client_body_temp;

    Context:http, server, location

16進制的數字

client_body_temp_path /var/tmp/client_body 2 1 1

2表示256個一級子目錄（256） 1表示每個一級子目錄下有16個二級子目錄（25616） 1表示每個二級子目錄下有16個三級子目錄（16256*16）

1：表示用一位16進制數字表示一級子目錄；0-f

2：表示用2位16進程數字表示二級子目錄：00-ff

2：表示用2位16進程數字表示三級子目錄：00-ff

===========================================================================

18、limit_rate rate; #限制響應給客戶端的傳輸速率，單位是bytes/second，0表示無限制

    Default:limit_rate 0;

    Context:http, server, location, if in location

===========================================================================

19、limit_except method … { … } #限制對指定的請求方法之外的其它方法的使用客戶端

    Default:—

    Context:location

    limit_except GET {               #GET以外的方法

        allow 192.168.1.0/32;      #只允許192.168.1.0/32網段使用

        deny  all;

    }       

===========================================================================

20、aio on | off | threads[=pool]; #是否啟用aio功能（使用on）

    Default:aio off;

    Context:http, server, location

===========================================================================

21、directio size | off; #在Linux主機啟用O_DIRECT標記，此處意味文件大于等于給定的大小時使用，例如directio 4m

    Default:directio off;

    Context:http, server, location

===========================================================================

22、open_file_cache off; # 是否開啟緩存

    open_file_cache max=N [inactive=time];

    Default:open_file_cache off;

    Context:http, server, location

(1) 文件的描述符、文件大小和最近一次的修改時間

(2) 打開的目錄結構

(3) 沒有找到的或者沒有權限訪問的文件的相關信息

max=N：可緩存的緩存項上限；達到上限后會使用LRU（最近最少使用）算法實現緩存管理

inactive=time：緩存項的非活動時長，在此處指定的時長內未被命中的或命中的次數少于open_file_cache_min_users指令所指定的次數的緩存項即為非活動項

===========================================================================

23、open_file_cache_valid time; #緩存項有效性的檢查頻率；默認為60s（空間不夠用可將秒數調低）

    Default:open_file_cache_valid 60s;

    Context:http, server, location

===========================================================================

24、open_file_cache_min_uses number; #在open_file_cache指令的inactive參數指定的時長內，至少應該被命中多少次方可被歸類為活動項

    Default:open_file_cache_min_uses 1;

    Context:http, server, location

===========================================================================

25、open_file_cache_errors on | off; #是否緩存查找時發生錯誤的文件一類的信息（使用on）

    Default:open_file_cache_errors off;

    Context:http, server, location

===========================================================================

實現基于ip的訪問控制功能

26、allow address | CIDR | unix: | all;（允許）

===========================================================================

27、deny address | CIDR | unix: | all;（禁止）

http, server, location, limit_except

===========================================================================

實現基于用戶的訪問控制，使用basic機制進行用戶認證；

28、auth_basic string | off;

===========================================================================

29、auth_basic_user_file file;

location /admin/ {

 alias /webapps/app1/data/;

 auth_basic “Admin Area”;

 auth_basic_user_file /etc/nginx/.ngxpasswd;

}

注意：htpasswd命令由httpd-tools所提供

[root@nginx1 /etc/nginx/conf.d]#yum install httpd-tools
[root@nginx1 /etc/nginx/conf.d]#htpasswd -c -m /etc/nginx/.ngxpasswd tom
[root@nginx1 /etc/nginx/conf.d]#htpasswd -m /etc/nginx/.ngxpasswd jerry
[root@nginx1 /etc/nginx/conf.d]#vim vhost1.conf
location ~* ^/(admin|login) { #如果路徑以admin|login開頭，

            auth_basic "admin area or login url";    
            auth_basic_user_file /etc/nginx/.ngxpasswd;    #文件路徑/etc/nginx/.ngxpasswd

}
[root@nginx1 /etc/nginx/conf.d]#mkdir /data/nginx/vhost1/admin
[root@nginx1 /etc/nginx/conf.d]#vim /data/nginx/vhost1/admin/index.html

admin area

輸入用戶名和密碼后成功進入

===========================================================================

ngx_http_stub_status_module模塊（nginx內置的內建狀態頁）

用于輸出nginx的基本狀態信息；

Active connections: 291

server accepts handled requests

16630948 16630948 31070465

Reading: 6 Writing: 179 Waiting: 106

Active connections: 活動狀態的連接數；

accepts：已經接受的客戶端請求的總數；

handled：已經處理完成的客戶端請求的總數；

requests：客戶端發來的總的請求數；

Reading：處于讀取客戶端請求報文首部的連接的連接數；

Writing：處于向客戶端發送響應報文過程中的連接數；

Waiting：處于等待客戶端發出請求的空閑連接數；

30、stub_status;

Default:—

Context:server, location

配置示例：
location /basic_status {
stub_status;
}

[root@nginx1 /etc/nginx/conf.d]#vim vhost1.conf
location /ngxstatus {

            stub_status;
             access_log off;日志不記錄

}
[root@nginx1 /etc/nginx/conf.d]#nginx -t
[root@nginx1 /etc/nginx/conf.d]#nginx -s reload

===========================================================================

he ngx_http_log_module module writes request logs in the specified format.(ngx_http_log_module模塊寫入請求登錄指定的格式)

31、log_format name string …; #日志格式

    Default:log_format combined “…”;

    Context:http

string可以使用nginx核心模塊及其它模塊內嵌的變量；

    $bytes_sent：發送到客戶端的字節數

    $connection：連接序列號

    $connection_requests：目前一些通過連接發出的請求（1.1.18）

    $msec：時間與一個毫秒分辨率秒日志寫入的時間

    $pipe：”p”如果請求被流水線

    $request_length：請求長度

    $request_time：請求處理時間在毫秒分辨率秒; 第一字節之間經過的時間是從在客戶端和日志寫入讀出之后，最后的字節被發送到客戶端

    $status：響應狀態

    $time_iso8601：在ISO 8601標準格式的本地時間

    $time_local：在通用日志格式的本地時間

===========================================================================

32、access_log path [format [buffer=size] [gzip[=level]] [flush=time] [if=condition]]; #訪問日志文件路徑，格式及相關的緩沖的配置；

    access_log off;

    Default:access_log logs/access.log combined;

    Context:http, server, location, if in location, limit_except

訪問日志文件路徑，格式及相關的緩沖的配置；

        buffer=size

        flush=time

[root@nginx1 /etc/nginx/conf.d]#vim vhost1.conf

server {
        listen 80;
        server_name www.ilinux.io;
        root /data/nginx/vhost1;
        access_log /var/log/nginx/vhost1_access.log main; 定義在server中，對整個文件有效
[root@nginx1 /etc/nginx/conf.d]#nginx -s reload
[root@nginx1 /etc/nginx/conf.d]#tail /var/log/nginx/vhost1_access.log   查看日志
172.16.254.217 - tom [14/Jul/2017:22:02:12 +0800] "GET /images/fish.jpg HTTP/1.1" 304 0 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:45.0) Gecko/20100101 Firefox/45.0" "-"
172.16.254.217 - tom [14/Jul/2017:22:04:33 +0800] "GET /images/2560x1600.jpg HTTP/1.1" 404 48 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:45.0) Gecko/20100101 Firefox/45.0" "-"
172.16.254.217 - tom [14/Jul/2017:22:05:29 +0800] "GET / HTTP/1.1" 304 0 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:45.0) Gecko/20100101 Firefox/45.0" "-"
172.16.254.217 - tom [14/Jul/2017:22:05:43 +0800] "GET /admin/ HTTP/1.1" 304 0 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:45.0) Gecko/20100101 Firefox/45.0" "-"
對于某個location使用多帶帶的訪問日志，以admin為例

location ~* ^/(admin|login) {
                auth_basic "admin area or login url";
                auth_basic_user_file /etc/nginx/.ngxpasswd;
                access_log /var /log/nginx/vhost1_access.log main;
}

===========================================================================

33、open_log_file_cache max=N [inactive=time] [min_uses=N] [valid=time]; #緩存各日志文件相關的元數據信息；

    open_log_file_cache off;

    Default:open_log_file_cache off;

    Context:http, server, location

緩存各日志文件相關的元數據信息；

        max：緩存的最大文件描述符數量；

        min_users：在inactive指定的時長內訪問大于等于此值方可被當作活動項；

        inactive：非活動時長；

        valid：驗正緩存中各緩存項是否為活動項的時間間隔；

===========================================================================

The ngx_http_gzip_module module is a filter that compresses responses using the “gzip” method. This often helps to reduce the size of transmitted data by half or even more.(ngx_http_gzip_module模塊是一個過濾器，壓縮響應使用“gzip”方法。這通常有助于將傳輸數據的大小減少一半甚至更多。)

1、gzip on | off;

Default: gzip off;

Context: http, server, location, if in location

Enables or disables gzipping of responses.(啟用或禁用Gzipping反應)

是否啟用gzip壓縮響應報文；不是所有瀏覽器都支持壓縮機制

===========================================================================

2、gzip_comp_level level;

Default: gzip_comp_level 1;

Context: http, server, location

Sets a gzip compression level of a response. Acceptable values are in the range from 1 to 9.(設置一個響應的gzip壓縮級別。可接受的值在1到9之間。默認為1，數壓越大壓縮比越大)

===========================================================================

3、gzip_disable regex …;

Default: —

Context: http, server, location

Disables gzipping of responses for requests with “User-Agent” header fields matching any of the specified regular expressions.(禁用Gzipping響應“用戶代理標頭字段匹配任何指定的正則表達式的要求)

regex是匹配客戶端瀏覽器類型的模式，表示對所有匹配到的瀏覽器不執行壓縮響應；因為有些瀏覽器類型不支持壓縮

===========================================================================

4、gzip_min_length length;

Default: gzip_min_length 20;

Context: http, server, location

啟用壓縮功能的響應報文大小閾值

===========================================================================

5、gzip_buffers number size;

Default: gzip_buffers 32 4k|16 8k;

Context: http, server, location

支持實現壓縮功能時為其配置的緩沖區數量及每個緩存區的大小

===========================================================================

6、gzip_proxied off | expired | no-cache | no-store | private | no_last_modified | no_etag | auth | any …;

Default: gzip_proxied off;

Context: http, server, location

nginx作為代理服務器接收到從被代理服務器發送的響應報文后，在何種條件下啟用壓縮功能的

off：對代理的請求不啟用

expired：如果響應報文首部包含expired字段并有值，其值即是有效的但過期了，因為禁用了緩存機制，則啟用壓縮

no-cache, no-store，private：表示從被代理服務器收到的響應報文首部的Cache-Control的值為此三者中任何一個，則啟用壓縮功能

===========================================================================

7、gzip_types mime-type …;

Default: gzip_types text/html;

Context: http, server, location

壓縮過濾器，僅對此處設定的MIME類型的內容啟用壓縮功能；默認為text/html

示例：

gzip on;

gzip_comp_level 6;

gzip_min_length 64;

gzip_proxied any;

gzip_types text/xml text/css application/javascript

例：

[root@nginx1 /etc/nginx]#vim nginx.conf
gzip on;
gzip_comp_level 6; #壓縮級別為6
gzip_types text/css text/xml application/javascript #對text/css text/xml application/javascript這三種進行壓縮
[root@nginx1 /etc/nginx]#vim nginx.conf
gzip on;
gzip_comp_level 6; #壓縮級別為6
gzip_types text/html text/css text/xml application/javascript #對text/html text/css text/xml application/javascript這四種進行壓縮
[root@nginx1 /etc/nginx]#nginx -s reload
[root@nginx1 /etc/nginx]#cp nginx.conf /data/nginx/vhost1/nginx.html

===========================================================================

ssl協議位于傳輸層和應用層之間的半層；應用層協議在開發時調用ssl功能，就能支持ssl，有些應用層協議在調用ssl時，可把ssl當做一個模塊，用到時就可以調用；就像httpd，可提供http服務，也可提供https服務；只不過，如果是基于rpm安裝方式時，需要安裝mod_ssl模塊；

ssl協議是基于tcp通信的，經過tcp3次握手后，才能進行sslhandshake；

服務器發證書給客戶端，包括支持哪些加密算法，與客戶端協商；客戶端接收后證書后，要驗證證書持有者與訪問主機站點地址是否一致，證書的頒發機構是否是信任的機構，驗證證書的有效期，用CA公鑰解密數字簽名，用同樣的算法加密特征碼，對比是否一致，驗證CA的合法性；還要檢查證書吊銷列表；驗證通過后，才通信；但通信時，還要有密鑰交換的過程，用對方的公鑰加密選擇的一次性對稱密鑰，然后傳遞給對方，對方用私鑰解密后，就得出了密碼，然后就用這個密碼來加密客戶端請求的資源之后，將資源發送給客戶端，隨后就是ssl雙方之間的通信；

這個通信是基于ssl會話進行的，所有http報文在發送給tcp層之前，先交給ssl層，ssl層會把文本形式的報文，轉換為ssl報文，ssl報文是為二進制格式的；隨后才交給tcp層；因此基于ssl層的會話，可認為是在整個報文多了一層，即數據之外是應用層，應用層之外是ssl會話層，然后才是tcp層，最后經過封裝MAC發送；

運營商能截獲客戶端的訪問頁面，插入相關的鏈接或廣告，站點有可能都不知道；在cdn層次上分析客戶的訪問；因此，站點現在都做全站https，這樣，再運營商插入廣告，客戶就打不開網頁，從而，運營商為了滿足客戶端打開網頁的需求，就不能插入廣告了；

ssl會話是基于tcp隧道承載的一種協議，是在tcp建立連接之后，才建立的；而在拆除會話時，是先拆除ssl會話，再拆除tcp連接；

ssl加解密會給cpu帶來很大壓力；將來做服務器時，要做選型；軟硬件模型多服務器做壓測，要滿足業務需要；客戶端使用域名訪問服務器站點，通過DNS服務器解析返回一個請求的要訪問服務器ip地址，之后，客戶端就封裝http請求報文，http報文基于get方法，body部分一般是空的，再外面封裝的是http請求報文首部，當中有大多請求報文的header，其中有一個header叫做host，這個host給的就是在瀏覽器中鍵入的主機名；再封裝tcp等等；域名只在http請求報文首部才用到，而首部是在ssl會話內部的；所以兩臺主機間通信tcp會話是基于ip地址進行，ssl會話也是基于ip地址進行的；雙方身份識別是基于ip地址，而沒有用到主機名；所以，任何一臺服務器只有一個IP地址的主機，只能提供一個https的虛擬主機；但現在有個開源項目，能夠實現單臺主機使用多個https的虛擬主機

灰度模型：服務器上線、下線一批一批來打補丁

1、ssl on | off;

Default: ssl off;

Context: http, server

Enables the HTTPS protocol for the given virtual server.(啟用給定虛擬服務器的HTTPS協議。)

是否啟用當前虛擬主機的ssl

手動測試時，可臨時關閉

基于ip地址的ssl會話，在一個ip上進行只能一個虛擬主機ssl會話

===========================================================================

2、ssl_certificate file;

Default: —

Context: http, server

當前虛擬主機使用PEM格式的證書文件

===========================================================================

3、ssl_certificate_key file;

Default: —

Context: http, server

指明私鑰文件；當前虛擬主機使用的證書文件中的公鑰配對兒的私鑰文件路徑，PEM格式

===========================================================================

4、ssl_protocols [SSLv2] [SSLv3] [TLSv1] [TLSv1.1] [TLSv1.2];

Default: ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

Context: http, server

支持ssl協議版本，默認為后三個；最好使用TLSv1以上的版本

===========================================================================

5、ssl_session_cache off | none | [builtin[:size]] [shared:name:size];

Default: ssl_session_cache none;

Context: http, server

builtin[:size]：使用OpenSSL內建的緩存，此緩存為每worker進程私有；

[shared:name:size]：在各worker之間使用一個共享的緩存；

ssl會話創建非常消耗資源，能緩存下來對同一主機的多次請求，在有效時間內可不用建立ssl會話，基于緩存來實現；指明ssl會話的緩存機制；

off：禁止使用會話；堅決禁止；

none：禁止使用會話；溫和禁止；告訴客戶端會話有可能被重用，但并不保證；

builtin：使用openssl（加密的庫）內建的緩存機制，此為各worker獨占；

為每個worker進程在自己的空間中加載ssl相關庫，各worker是不共享的；每個worker自己獨立管理自己的ssl會話緩存；

缺陷：同一個用戶請求，第一個請求調度在第一個worker響應，第二個請求有可能被調度到第二個worker響應，這樣緩存有可能無法被命中；

shared：相對于builtin而言，ssl緩存是由各worker共享的緩存；緩存空間需要定義name，size等，每個共享必須有名字；共享的緩存由nginx進程所管理的一段內存空間，對于nginx，共享內存空間非常多，所以共享內存空間要有名字和空間大小；

name：緩存空間的名稱；每一段空間間必須有一個名字；

size：字節為單位的緩存空間的大小，每1MB內存空間可緩存4000個會話；10M空間就可緩存4萬個會話；一般只使用共享，效率會高些；多個虛擬主機可使用同一段緩存空間來緩存自己的ssl會話

===========================================================================

6、ssl_session_timeout time;

Default: ssl_session_timeout 5m;

Context: http, server

客戶端一側的連接可以復用ssl session cache中緩存的ssl參數的有效時長；ssl會話超時時長，默認是5分鐘

配置示例：

server {

 listen 443 ssl;     ————————-強制ssl會話

 server_name localhost; ——————虛擬主機名

 ssl_certificate cert.pem; —————–證書

 ssl_certificate_key cert.key;————-私鑰

 ssl_session_cache shared:SSL:1m; —-共享ssh緩存大小

 ssl_session_timeout 5m; —————–會話ssl的超時時長

 ssl_ciphers HIGH:!aNULL:!MD5; ——–ssl的加密算法

 ssl_prefer_server_ciphers on; ———–傾向于使用服務器端的加密算法

 location / {

 root html;

 index index.html index.htm;

}

===========================================================================

The ngx_http_rewrite_module module is used to change request URI using PCRE regular expressions, return redirects, and conditionally select configurations.(ngx_http_rewrite_module模塊使用PCRE正則表達式，變更請求URI返回重定向，并有條件地選擇配置。)

用于實現將用戶請求的URI基于正則式轉換為其它URl機制；并且以重定向方式默認返回給客戶端，讓客戶端對新的URI重新再次發起請求

處理步驟：

在server當中，使用rewrite指令定義的重寫機制是自上而下逐條進行處理的，類似于iptables的規則都是自上而下應用設置的；如果被第一條處理，下面不會再檢查；因為處理過了已經返回給客戶端，客戶端已經再次請求新URI了。

將用戶請求的URI基于regex所描述的模式進行檢查，而后完成替換

執行過程會重復如下操作：

(1)基于用戶請求的URI去搜索location；

(2)在一個location內部的指令，是從上而下逐條檢查；

(3)如果URI被重寫循環重復,最多10次,就會提示錯誤頁面

(4)用戶請求到達nginx服務器端時，服務端有多個server虛擬主機，映射到哪個server，取決于用戶請求的server name，根據用戶請求的server name最終被判斷到底請求的是哪個server，從而判斷屬于哪個server，每個srever內部還有多個location，每個location用來定義URL到本地文件系統路徑的映射方式以及內部處理機制；因此，還有根據用戶請求的URL去匹配location；所以，這里有2步操作:

第一步，根據server name匹配是哪個server，

第二步，根據用戶請求的URL去匹配server內部的location；在一個location內部可能存在多個rewrite指令，rewrite指令作用就是把用戶請求的URL換成其它的URL；

例如：用戶請求的是http://server2/hello.htm，被匹配到第二個srever上，其中location中如果第一條rewrite指令，指明了把hello.html指向了hi.html；則返回給客戶端去請求http://server2/hi.html，而后客戶端要重新再次發請求，依然自上而下去匹配屬于哪個server、哪個location；如果hi.html被第三location匹配則被location中的指令處理

例：循環重寫示例：

rewrite (.*).jpg$ –> $1.html；

rewrite (.*).html$ –> $1.jpg；

寫的規則次序很重要：根據用戶請求的主機名來判斷是哪個server；確定server后，根據location完成搜索，根據location中的重寫規則完成重寫，重寫后，返回客戶端一個新的URL，客戶端再次發請求；如果中間出現循環最大循環10此；URL重寫可實現跨server，例如請求http://server2/images/1.jpg，改寫為http://images/$1.html，這個images可能是其它虛擬主機，甚至還可能是另一臺物理服務器；

所有URL重寫，可在一個主機上的一個server內只把URL部分重寫，但有時可以把server重寫，實現鏡像服務器；把里面的服務器地址改了，但是URL沒改；

URL重寫可把對應動態資源的請求轉換為靜態的URL地址；因此，這個結果可被搜索引擎收錄，還可被緩存服務器緩存；可理解為把動態資源靜態化的效果；

如果用戶訪問的php動態資源，很多時候緩存服務器是不緩存這個結果的，但是如果動態資源生成的結果不會再變化可以緩存服務器緩存下來時（靜態的存下來），可以給靜態URL；這種機制可在nginx的rewrite功能來實現；但用到正則式就要啟動正則表達式引擎，這樣會消耗更多資源；因此，盡量不使用

1、rewrite regex replacement [flag]

將用戶請求的URI基于regex所描述的模式進行檢查，匹配到時將其替換為replacement指定的新的URI；

注意：如果在同一級配置塊中存在多個rewrite規則，那么會自下而下逐個檢查；被某條件規則替換完成后，會重新一輪的替換檢查，因此，隱含有循環機制；[flag]所表示的標志位用于控制此循環機制；

如果replacement是以http://或https://開頭，則替換結果會直接以重向返回給客戶端；

301：永久重定向；

[flag]：

last：重寫完成后停止對當前URI在當前location中后續的其它重寫操作，而后對新的URI啟動新一輪重寫檢查；提前重啟新一輪循環；

break：重寫完成后停止對當前URI在當前location中后續的其它重寫操作，而后直接跳轉至重寫規則配置塊之后的其它配置；結束循環；

redirect：重寫完成后以臨時重定向方式直接返回重寫后生成的新URI給客戶端，由客戶端重新發起請求；不能以http://或https://開頭；

permanent:重寫完成后以永久重定向方式直接返回重寫后生成的新URI給客戶端，由客戶端重新發起請求；

如果第一條規則被last匹配了，意味著新的URI會重新做一次請求，nginx會在內部自動重新檢查，如果又被這個location匹配，還會再檢查一遍；最終將資源加載后返回給客戶端；

如果第一條規則被break匹配，rewrite停止在第一條中的新URI上，意味著不再被執行重寫指令即跳出循環，nginx會在內部而繼續執行此location內的其它指令；最終將資源加載后返回給客戶端；

如果第一條規則被redirect匹配，直接將新URL返回給客戶端，瀏覽器自動對新URL發請求，這個新URL有可能還是本機中location，再解析匹配檢查，所以，redirect直接返回的不是資源，而是一個新的URL；

但redirect和permanent，表示當用戶請求的URL被重定向時，直接返回用戶新的URL，讓用戶自己重新請求，只不過這兩者的區別為，redirect是臨時重定向，permanent是永久重定向；

注意：last和break都是nginx自動的在內部進行后續處理；

redirect和permanent是nginx返回URL給客戶端瀏覽器自動重新請求的

注意：

(1)在同一location中存在多個rewrite規則會自上而下逐個被檢查（隱含循環）；可使用flag控制此循環功能；

(2)如果replacement是以http://或https://開頭，則替換結果會直接以重定向方式返回給客戶端；

(3)如果replacement不是以http://或https://開頭，將會按次序，依次讀取規則，所有規則都處理完成后，把最終結果返回客戶端，而不是被某條規則重寫后立即返回客戶端；

(4)查找時可使用模式，替換為的內容不能使用模式，但可使用后向引用，在nginx中不使用1，是使用$1來表示引用；

(5) 如果在同一級配置塊中存在多個rewrite規則，那么會自下而下逐個檢查；被某條件規則替換完成后，會重新一輪的替換檢查，因此，隱含有循環機制；[flag]所表示的標志位用于控制此循環機制；

(6)rewrite指令的執行次序，就是寫在配置文件中的次序，如果重寫時一個規則依次向下循環匹配很多規則時，可使用flag中的break在指定的規則上停止循環，完成最終重寫。

例:(1)無錯誤頁面重寫

]# vim /etc/nginx/nginx.conf
location / {
index index.html;
rewrite (.)/..?.* $1/index.html break;
}
結論：無論用戶輸入什么資源，都會重寫到index.html頁面

(2)定義死循環

]# vim /etc/nginx/nginx.conf
location / {
index index.html;
rewrite (.*).txt $1.html;
rewrite (.*).html $1.txt;
}
結論：瀏覽器輸入http://10.1.1.25/index.txt時，服務器響應碼為500(服務器內部錯誤)，此時在兩條重寫規則任意一條中添加break即可終止循環。

https://www/ilinux.io/images/fish.png—>https://www/ilinux.io/images/fish.jpg

[root@nginx1 /etc/nginx]#vim conf.d/vhost1.conf
server {
        rewrite /(.*).png$ /$1.jpg;#只要請求的類型是以.png結尾的，都改為.jpg
[root@nginx1 /etc/nginx]#nginx -t
[root@nginx1 /etc/nginx]#nginx -s reload
[root@nginx1 /etc/nginx]#ls /data/pictures/
fish.jpg  flake.jpg  images
訪問png圖片，顯示jpg圖片

===========================================================================

http://www/ilinux.io—>https://www/ilinux.io

將用戶訪問80端口時改為8080

[root@nginx1 /etc/nginx/conf.d]#vim vhost1.conf
server {

    #rewrite /(.*).png$ /$1.jpg;
    rewrite /(.*)$ https://www/ilinux.io/$1;  #無論用戶請求任何內容，都改為https://www/ilinux.io/$1

===========================================================================

2、return

return code [text];

return code URL;

return URL;

Default: —

Context: server, location, if

Stops processing and returns the specified code to a client. (停止處理并將指定的代碼返回給客戶機。)

===========================================================================

3、rewrite_log on | off;

Default: rewrite_log off;

Context: http, server, location, if

是否開啟重寫日志；啟用時，日志信息被發往錯誤日志

===========================================================================

4、if (condition) { … }

Default: —

Context: server, location

引入一個新的配置上下文 ；條件滿足時，執行配置塊中的配置指令；server, location；

condition：

比較操作符：

等值比較和不等值比較： == !=

~：模式匹配，左側字符串是否能被右側模式匹配，區分字母大小寫

~*：模式匹配，左側字符串是否能被右側模式匹配，不區分字符大小寫

！~：模式不匹配，左側字符串是否不能被右側模式匹配，區分字符大小寫

！~*：模式不匹配，左側字符串是否不能被右側模式匹配，不區分字符大小寫

文件及目錄存在性判斷：

-f|!-f：存在且類型為文件，嘆號表示取反

-d|!d：判斷為目錄

-e|!-e：判斷存在

-x|!-x：判斷執行權限

例:(1)定義只允許瀏覽器類型為Chrome和Firefox時，才能將.txt重寫為.html

]#vim /etc/nginx/conf.d/vhost.conf
if ($http_user_agent ~* Chrome|Firefox ) {
rewrite (.*).txt $1.html break;
}
表示：判斷用戶的瀏覽器是否能被Chrome或Firefox匹配，$http_user_agent是其它模塊引入的變量

(2)定義如果用戶請求方法為post時，返回錯誤代碼及提示給用戶

if ($request_method = POST) {

return 405 “Sorry”;

}

(3)定義用戶訪問的uri中帶有admin字樣就返回錯誤代碼及提示給用戶

]# vim /etc/nginx/nginx.conf
if ($uri ~ .admin,*) {
return 403 "go away";
}
結論：(1)瀏覽器輸入：www.ilinux.io/admin.html，顯示：go away，響應碼還是403

     (2)返回指定的錯誤代碼不受自定義的錯誤代碼響應頁面影響

===========================================================================

5、set $variable value;

Default: —

Context: server, location, if

用戶自定義變量，在nginx中變量無論在定義還是引用都要使用$符號

===========================================================================

6、break

語法：Syntax: break;

Default: —

Context: server, location, if

停止處理當前ngx_http_rewrite_module指令集。

===========================================================================

The ngx_http_referer_module module is used to block access to a site for requests with invalid values in the “Referer” header field. (ngx_http_referer_module模塊是用來阻止訪問一個在referer頭域值無效請求的網站,基于引用做訪問控制；表示從哪個鏈接跳轉到當前頁面)

1、valid_referers none | blocked | server_names | string …;

可實現防盜鏈拒絕訪問，拒絕來自某鏈接到本網頁等功能

定義referer首部的合法可用值；

none：請求報文首部沒有referer首部；

blocked：請求報文的referer首部沒有值；

server_names：參數，其可以有值作為主機名或主機名模式；

arbitrary_string：直接字符串，但可使用*作通配符；

regular expression：被指定的正則表達式模式匹配到的字符串；要使用~打頭，例如 ~.*.rookie.com；

配置示例：

valid_referers none block server_names .rookie.com .rookie.com rookie. rookie. ~.rookie.;除這些以外的都是非法引用
if($invalid_referer) {
return 403;
}
其中，$invalid_referer是內嵌變量，表示只有不能被valid_refers指令匹配到的頭被歸類到invalid_referer；直接調用$invalid_referer變量即可

===========================================================================

The ngx_http_proxy_module module allows passing requests to another server.

ngx_http_proxy_module模塊允許傳遞請求到另一個服務器。

1、proxy_pass URL;

Default:—

Context:location, if in location, limit_except

注意：proxy_pass后面的路徑不帶uri時，其會將location的uri傳遞給后端主機

server {
...
server_name HOSTNAME;
location /uri/ {
proxy http://hos[:port];
}
...
}
http://HOSTNAME/uri –> http://host/uri

proxy_pass后面的路徑是一個uri時，其會將location的uri替換為proxy_pass的uri

server {
...
server_name HOSTNAME;
location /uri/ {
proxy http://host/new_uri/;
}
...
}
http://HOSTNAME/uri/ –> http://host/new_uri/

如果location定義其uri時使用了正則表達式的模式，或在if語句或limt_execept中使用proxy_pass指令，則proxy_pass之后必須不能使用uri; 用戶請求時傳遞的uri將直接附加代理到的服務的之后；

server {
...
server_name HOSTNAME;
location ~|~* /uri/ {
proxy http://host;
}
...
}
http://HOSTNAME/uri/ –> http://host/uri/

===========================================================================

2、proxy_set_header field value;

設定發往后端主機的請求報文的請求首部的值；Context: http, server, location

proxy_set_header X-Real-IP $remote_addr;

proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for

===========================================================================

3、proxy_cache_path;

定義可用于proxy功能的緩存；Context:http

proxy_cache_path path [levels=levels] [use_temp_path=on|off] keys_zone=name:size [inactive=time] [max_size=size] [manager_files=number] [manager_sleep=time] [manager_threshold=time] [loader_files=number] [loader_sleep=time] [loader_threshold=time] [purger=on|off] [purger_files=number] [purger_sleep=time] [purger_threshold=time]

===========================================================================

4、proxy_cache zone | off;

指明要調用的緩存，或關閉緩存機制；Context: http, server, location

===========================================================================

5、proxy_cache_key string;

緩存中用于“鍵”的內容；

默認值：proxy_cache_key $scheme$proxy_host$request_uri

===========================================================================

6、proxy_cache_valid [code …] time;

定義對特定響應碼的響應內容的緩存時長；

定義在http{…}中；

proxy_cache_path /var/cache/nginx/proxy_cache levels=1:1:1 keys_zone=pxycache:20m max_size=1g;

定義在需要調用緩存功能的配置段，例如server{…}；

proxy_cache pxycache;

proxy_cache_key $request_uri;

proxy_cache_valid 200 302 301 1h;

proxy_cache_valid any 1m

===========================================================================

7、proxy_cache_use_stale

proxy_cache_use_stale error | timeout | invalid_header | updating | http_500 | http_502 | http_503 | http_504 | http_403 | http_404 | off …;

Determines in which cases a stale cached response can be used when an error occurs during communication with the proxied server.(在這種情況下，不確定緩存的響應可以用代理服務器的通信過程中出現錯誤時使用。)

===========================================================================

8、proxy_cache_methods GET | HEAD | POST …;

If the client request method is listed in this directive then the response will be cached. “GET” and “HEAD” methods are always added to the list, though it is recommended to specify them explicitly. (如果在這個指令中列出客戶機請求方法，那么響應將被緩存。“GET”和“HEAD”方法總是添加到列表中，但建議顯式地指定它們。)

===========================================================================

9、proxy_hide_header field;

By default, nginx does not pass the header fields “Date”, “Server”, “X-Pad”, and “X-Accel-…” from the response of a proxied server to a client. The proxy_hide_header directive sets additional fields that will not be passed.(默認情況下，nginx不通過頭字段“日期”、“服務器”、“X-PAD”、和“x-accel -…“從響應一個代理服務器的客戶端。proxy_hide_header指令集的附加字段那不會被通過。)

===========================================================================

10、proxy_connect_timeout time; 默認為60s

Defines a timeout for establishing a connection with a proxied server. It should be noted that this timeout cannot usually exceed 75 seconds.(定義了用于建立與代理服務器連接超時。需要注意的是，這個超時通常不能超過75秒。)

===========================================================================

The ngx_http_headers_module module allows adding the “Expires” and “Cache-Control” header fields, and arbitrary fields, to a response header.(ngx_http_headers_module模塊允許添加“過期”和“緩存控制頭字段，和任意的領域，一個響應頭。)

向由代理服務器響應給客戶端的響應報文添加自定義首部，或修改指定首部的值

1、add_header name value [always];

添加自定義首部；

add_header X-Via $server_addr;

add_header X-Accel $server_name;

===========================================================================

2、expires [modified] time;

expires epoch | max | off;

用于定義Expire或Cache-Control首部的值

===========================================================================

The ngx_http_fastcgi_module module allows passing requests to a FastCGI server.(ngx_http_fastcgi_module模塊允許通過請求FastCGI服務器。)

1、fastcgi_pass address;

Default: —

Context: location, if in location

fastcgi服務器IP地址

===========================================================================

2、fastcgi_index name;

Default: —

Context: http, server, location

fastcgi默認的主頁資源

===========================================================================

3、fastcgi_param parameter value [if_not_empty];

Default: —

Context: http, server, location

Sets a parameter that should be passed to the FastCGI server. The value can contain text, variables, and their combination.(設置一個參數，應通過FastCGI服務器。該值可以包含文本、變量和它們的組合。)

配置示例1：

前提：配置好fpm server和mariadb-server服務

安裝php-fpm和mysql

yum -y install php-fpm mariadb-server

Nginx配置文件

location ~* .php$ {
root           /usr/share/nginx/html;
fastcgi_pass   127.0.0.1:9000;
fastcgi_index  index.php;
fastcgi_param  SCRIPT_FILENAME  /usr/share/nginx/html$fastcgi_script_name;
include        fastcgi_params;
}
配置示例2：通過/pm_status和/ping來獲取fpm server狀態信息；

location ~* ^/(pm_status|ping)$ {
include        fastcgi_params;
fastcgi_pass 127.0.0.1:9000;
fastcgi_param  SCRIPT_FILENAME  $fastcgi_script_name;
}

===========================================================================

4、fastcgi_cache_path path [levels=levels] [use_temp_path=on|off] keys_zone=name:size [inactive=time] [max_size=size] [manager_files=number] [manager_sleep=time] [manager_threshold=time] [loader_files=number] [loader_sleep=time] [loader_threshold=time] [purger=on|off] [purger_files=number] [purger_sleep=time] [purger_threshold=time];

定義fastcgi的緩存；緩存位置為磁盤上的文件系統，由path所指定路徑來定義；

levels=levels：緩存目錄的層級數量，以及每一級的目錄數量；levels=ONE:TWO:THREE

leves=1:2:2

keys_zone=name:size

k/v映射的內存空間的名稱及大小

inactive=time

非活動時長

max_size=size

磁盤上用于緩存數據的緩存空間上限

===========================================================================

5、fastcgi_cache zone | off;

Default: fastcgi_cache off;

Context: http, server, location

調用指定的緩存空間來緩存數據

===========================================================================

6、fastcgi_cache_key string;

Default: —

Context: http, server, location

定義用作緩存項的key的字符串

===========================================================================

7、fastcgi_cache_methods GET | HEAD | POST …;

Default: fastcgi_cache_methods GET HEAD;

Context: http, server, location

為哪些請求方法使用緩存

===========================================================================

8、fastcgi_cache_min_uses number;

Default: fastcgi_cache_min_uses 1;

Context: http, server, location

緩存空間中的緩存項在inactive定義的非活動時間內至少要被訪問到此處所指定的次數方可被認作活動項

===========================================================================

9、fastcgi_cache_valid [code …] time;

Default: —

Context: http, server, location

不同的響應碼各自的緩存時長；

示例：

http {
...
fastcgi_cache_path /var/cache/nginx/fastcgi_cache levels=1:2:1 keys_zone=fcgi:20m inactive=120s;
...
server {
...
location ~* .php$ {
...
fastcgi_cache fcgi;
fastcgi_cache_key $request_uri;
fastcgi_cache_valid 200 302 10m;
fastcgi_cache_valid 301 1h;
fastcgi_cache_valid any 1m;
...
}
...
}
...
}

===========================================================================


10、fastcgi_keep_conn on | off;

 Default: fastcgi_keep_conn off;

 Context: http, server, location

By default, a FastCGI server will close a connection right after sending the response. However, when this directive is set to the value on, nginx will instruct a FastCGI server to keep connections open.(默認情況下，一個FastCGI服務器將發送響應后關閉連接正確。然而，當這個指令設置的值，Nginx會指示一個FastCGI服務器保持連接打開。)


  [1]: /img/bVTI0Z