相同Nginx站点配置在不同Docker镜像中表现异常问题

问题重现 #

使用以下Nginx配置：

server {
    listen 80;
    server_name _;
    server_tokens off;
    gzip_static on;

    location ~* \.(html)$ {
        add_header 'X-XSS-Protection' '1';
    }

    location / {
        root   /usr/share/nginx/html;
        index  index.html index.htm;
        try_files $uri $uri/ /index.html;
    }
}

在nginx/1.14.2（对应node:14.19.3镜像）中运行正常，但在nginx/1.22.1（对应node:14-alpine镜像）出现以下异常：

• 访问/或/index.html时，会重定向到默认路径/var/lib/nginx/index.html（显示Nginx默认欢迎页），但/usr/share/nginx/html/index.html存在且权限正常
• 访问非HTML文件（如/index.txt）正常
• 访问自定义HTML文件（如/i.html）返回404，Nginx尝试在/var/lib/nginx/i.html查找文件
• 删除匹配HTML的location块后，所有功能恢复正常

原因分析 #

问题出在Nginx的root配置作用域和location匹配优先级上：

1. location ~* \.(html)$是正则匹配，优先级高于location /的前缀匹配，所有HTML请求都会进入这个块
2. 这个HTML专属的location块没有定义root，且server块也未设置全局root，Nginx会使用编译时的默认root路径（即/var/lib/nginx）
3. 低版本Nginx（1.14.2）的处理逻辑存在差异，可能隐式继承了子location的root配置；但高版本Nginx严格遵循配置作用域规则，不会跨location继承root

修复方案 #

有三种可行的修复方式，按需选择：

方案1：将root移到server块（推荐） #

把root配置提升到server级别，让所有location块共享同一个根路径：

server {
    listen 80;
    server_name _;
    server_tokens off;
    gzip_static on;
    root   /usr/share/nginx/html; # 全局root

    location ~* \.(html)$ {
        add_header 'X-XSS-Protection' '1';
    }

    location / {
        index  index.html index.htm;
        try_files $uri $uri/ /index.html;
    }
}

方案2：在HTML的location块中添加root #

直接在匹配HTML的location里指定相同的root路径：

server {
    listen 80;
    server_name _;
    server_tokens off;
    gzip_static on;

    location ~* \.(html)$ {
        root   /usr/share/nginx/html; # 添加root
        add_header 'X-XSS-Protection' '1';
    }

    location / {
        root   /usr/share/nginx/html;
        index  index.html index.htm;
        try_files $uri $uri/ /index.html;
    }
}

方案3：使用map指令精准控制头信息 #

如果不想重复配置root，可以用map指令仅给HTML文件添加响应头：

map $uri $xss_header {
    ~*\.html$ '1';
    default '';
}

server {
    listen 80;
    server_name _;
    server_tokens off;
    gzip_static on;
    root   /usr/share/nginx/html;
    
    add_header 'X-XSS-Protection' $xss_header always;

    location / {
        index  index.html index.htm;
        try_files $uri $uri/ /index.html;
    }
}

内容的提问来源于stack exchange，提问作者Carter