前阵子听说某做生鲜配送的小程序开发公司，因为Apache服务器没关目录浏览，导致用户订单数据泄露，损失惨重。这可不是个例——很多企业在忙着搞小程序开发、网站开发的时候，往往忽略了服务器的安全配置，让黑客有机可乘。今天咱们就来聊聊Nginx和Apache这两个常用服务器的安全加固，手把手教你给服务器穿上‘防弹衣’。
一、血泪教训：那些因为服务器配置不当栽跟头的开发公司
案例1：Apache目录浏览漏洞让小程序用户数据‘裸奔’
某本地生活类小程序开发公司，上线后没检查Apache配置，Options Indexes参数默认开启，导致用户的个人信息、订单记录等敏感文件直接暴露在公网上。黑客爬虫轻松爬走了上万条数据，不仅用户投诉不断，还被监管部门罚款。这个案例告诉我们：服务器配置的小疏忽，可能引发大灾难。
案例2：Nginx跨站脚本漏洞让企业官网‘中招’
某传统企业的官网开发项目用了Nginx，但没配置X-XSS-Protection头。黑客利用用户评论区注入恶意脚本，导致访问官网的用户浏览器被劫持，跳转到钓鱼网站。企业品牌形象受损，还流失了不少潜在客户。
二、Nginx安全配置加固：一步步给服务器上锁
1. 隐藏版本信息，不让黑客‘摸清底细’
黑客常通过服务器版本信息找漏洞，所以第一步就是隐藏Nginx版本。打开nginx.conf，添加或修改：
server_tokens off;
这样浏览器响应头就不会显示Nginx版本号了，让黑客无从下手。
2. 限制HTTP方法，只留‘有用的门’
大部分业务只需要GET、POST、HEAD方法，其他方法（如PUT、DELETE）可能被用来攻击。在server块中添加：
if ($request_method !~ ^(GET|POST|HEAD)$) { return 403; }
这样就能拒绝不必要的HTTP请求。
3. 强制HTTPS + HSTS，让数据传输‘加密到底’
HTTP传输是明文的，容易被窃听。配置HTTPS后，再添加HSTS头让浏览器强制用HTTPS访问：
add_header Strict-Transport-Security