移除Nginx中deny all规则的风险及Laravel 403安全修复方案

我按照DigitalOcean的Laravel+Nginx配置指南部署应用，仅替换了Laravel程序，Nginx配置完全照搬原指南。访问服务器IP时，应用自动重定向到ip_address/login但出现403错误，login.blade.php存放在laravel_root/resources/views/目录下。查看Nginx错误日志，提示“access forbidden by rule”，移除配置中的location ~ /\.(?!well-known).* { deny all; }规则后问题解决。现咨询：

1. 移除该规则存在哪些风险？
2. 无需移除该规则的更安全修复方法是什么？

• 暴露敏感隐藏文件：这条规则的核心作用是阻止访问服务器上所有以.开头的隐藏文件/目录（仅放行well-known目录，用于SSL证书验证等合法场景）。移除后，攻击者可直接访问Laravel的.env文件（包含数据库密码、应用密钥等核心敏感配置）、.git目录（泄露完整代码版本信息甚至源码），直接威胁应用和服务器的安全。
• 扩大攻击面：恶意扫描工具会高频探测隐藏文件，移除规则后服务器会响应这类请求，攻击者可通过获取的敏感信息发起针对性攻击，比如利用.env中的密钥伪造请求，或通过.git信息找到代码漏洞。

出现问题的核心原因是原正则规则不够精准，可能误匹配了正常路由请求。以下是两种无需移除规则的安全修复方案：

1. 修正正则表达式，精准拦截隐藏文件 #

将原规则修改为仅匹配根目录下以.开头的文件/目录，避免误匹配业务路由：

location ~ ^/\.(?!well-known\/).*$ {
    deny all;
    access_log off;
    log_not_found off;
}

• ^表示路径开头，确保只匹配根目录下的隐藏文件（如/.env、/.git），不会干扰/login这类正常路由。
• (?!well-known\/)排除/.well-known/路径，保留SSL证书验证等合法场景的访问权限。

2. 调整规则顺序，确保业务路由优先处理 #

在Nginx配置中，把Laravel的核心路由处理规则放在隐藏文件拦截规则之前，确保正常业务请求先被处理：

server {
    listen 80;
    server_name your_domain www.your_domain;
    root /var/www/laravel/public;

    add_header X-Frame-Options "SAMEORIGIN";
    add_header X-Content-Type-Options "nosniff";

    index index.php;
    charset utf-8;

    # 优先处理Laravel路由请求
    location / {
        try_files $uri $uri/ /index.php?$query_string;
    }

    # 精准拦截根目录下的隐藏文件
    location ~ ^/\.(?!well-known\/).*$ {
        deny all;
        access_log off;
        log_not_found off;
    }

    # PHP文件处理规则
    location ~ \.php$ {
        fastcgi_pass unix:/var/run/php/php8.1-fpm.sock;
        fastcgi_param SCRIPT_FILENAME $realpath_root$fastcgi_script_name;
        include fastcgi_params;
    }
}

3. 验证配置并重启Nginx #

修改配置后，先检查语法是否正确：

sudo nginx -t

如果输出test is successful，再重启Nginx使配置生效：

sudo systemctl restart nginx

内容的提问来源于stack exchange，提问作者Emanonk