将Nginx默认403/405响应返回200是否安全？有无其他Header设置方法？

关于将403/405转为200的安全风险 #

• 破坏HTTP语义规范：403代表资源禁止访问、405代表请求方法不被允许，这两种状态码是客户端判断请求结果的核心依据。强行转为200会导致浏览器、爬虫、第三方API调用者误解请求状态，比如重复发起无效的OPTIONS请求，或无法正确处理权限限制场景。
• 增加安全检测难度：攻击者探测服务器目录或接口时，原本403状态码可明确提示权限限制，转200后无法通过状态码快速识别无效路径，可能延长攻击试探时间；同时部分安全工具依赖状态码识别异常请求，转码后会干扰正常的安全检测流程。

给Nginx默认403/405响应添加HTTP头的方法 #

方法1：用error_page自定义错误响应（保留原状态码） #

通过自定义响应内容或错误页面，同时添加所需HTTP头，既保留正确状态码，又满足扫描要求：

# 定义错误跳转标识
error_page 403 @handle_403;
error_page 405 @handle_405;

# 处理403响应
location @handle_403 {
    return 403 "Access Forbidden";
    # 添加安全头示例
    add_header X-Frame-Options "SAMEORIGIN";
    add_header Content-Security-Policy "default-src 'self'";
    add_header X-Content-Type-Options "nosniff";
}

# 处理405响应
location @handle_405 {
    return 405 "Method Not Allowed";
    # 同步添加安全头
    add_header X-Frame-Options "SAMEORIGIN";
    add_header Content-Security-Policy "default-src 'self'";
    add_header X-Content-Type-Options "nosniff";
}

如果需要自定义HTML错误页面，可使用以下配置（internal指令禁止外部直接访问错误页面）：

error_page 403 /custom_403.html;
error_page 405 /custom_405.html;

location = /custom_403.html {
    root /path/to/your/error/pages;
    add_header X-Frame-Options "SAMEORIGIN";
    # 其他安全头
    internal;
}

location = /custom_405.html {
    root /path/to/your/error/pages;
    add_header X-Frame-Options "SAMEORIGIN";
    # 其他安全头
    internal;
}

方法2：使用always参数统一添加头（Nginx 1.7.5+） #

若你的Nginx版本在1.7.5及以上，可直接在server块中给所有响应（包括错误响应）添加头，这是最简洁的方案：

server {
    # 其他常规配置...
    
    # 添加安全头，always参数确保错误响应也生效
    add_header X-Frame-Options "SAMEORIGIN" always;
    add_header Content-Security-Policy "default-src 'self'" always;
    add_header X-Content-Type-Options "nosniff" always;
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
}

默认情况下add_header仅在2xx、3xx状态的响应中生效，always关键字会让头覆盖所有响应类型。

方法3：针对特定场景单独配置 #

如果只有特定路径（比如/static/）触发的403需要处理，可单独在对应location块中配置：

location /static/ {
    root /path/to/your/static/files;
    autoindex off; # 禁止目录索引，触发403
    
    # 针对该路径的403添加头
    error_page 403 @static_403;
}

location @static_403 {
    return 403 "Static directory access is forbidden";
    add_header X-Frame-Options "SAMEORIGIN";
    # 其他安全头
}

内容的提问来源于stack exchange，提问作者Alex Patel