如何阻止owasp/modsecurity Docker容器覆盖nginx.conf配置文件

核心问题原因 #

你直接挂载本地普通Nginx的配置目录到容器的/etc/nginx，但这个镜像的启动脚本会在容器初始化时检查/etc/nginx目录状态：若目录为空则自动写入适配ModSecurity的默认配置；如果本地目录存放的是普通Nginx配置，启动时会被镜像的ModSecurity适配配置覆盖，甚至可能因缺少ModSecurity模块配置导致容器启动失败。

解决方案步骤 #

1. 获取镜像自带的适配ModSecurity的Nginx默认配置 #

先临时启动容器，把镜像内的默认Nginx配置拷贝到本地，作为自定义配置的基础：

# 临时启动容器
docker run --rm -d --name temp-ms-nginx owasp/modsecurity:nginx-alpine
# 拷贝容器内的Nginx配置目录到本地指定路径
docker cp temp-ms-nginx:/etc/nginx/ /opt/containers/nginx/config/
# 停止并删除临时容器
docker stop temp-ms-nginx

2. 自定义配置（添加业务规则、SSL证书） #

现在本地/opt/containers/nginx/config目录里已有适配ModSecurity的基础配置，你可以在此基础上修改：

• 检查nginx.conf：确认已启用ModSecurity模块（默认已开启，查看是否包含load_module modules/ngx_http_modsecurity_module.so;和全局modsecurity on;配置）
• 在conf.d目录下新建或修改SSL配置文件（比如ssl.conf），加入Let's Encrypt证书配置：

server {
    listen 443 ssl http2;
    server_name 你的域名.com;

    # 引用挂载的Let's Encrypt证书
    ssl_certificate /etc/letsencrypt/live/你的域名.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/你的域名.com/privkey.pem;
    ssl_dhparam /etc/ssl/certs/dhparam-2048.pem;

    # 可选：添加SSL安全配置
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;
    ssl_prefer_server_ciphers on;

    location / {
        # 指向你的业务后端，若为静态文件则用root指令
        # proxy_pass http://your-backend:port;
        root /var/www;
        index index.html;

        # 确保ModSecurity在该location生效（全局已开启则可省略）
        ModSecurity on;
        ModSecurityConfig /etc/modsecurity.d/modsecurity.conf;
    }
}

# HTTP自动跳转HTTPS
server {
    listen 80;
    server_name 你的域名.com;
    return 301 https://$host$request_uri;
}

• 将你原来的业务配置（如反向代理、静态文件规则）合并到现有配置中，注意保留ModSecurity相关的模块加载和启用配置。

3. 调整启动命令（确保配置不被覆盖） #

现在本地配置目录已有适配ModSecurity的基础配置，启动容器时挂载该目录，镜像的启动脚本不会再覆盖已有配置：

docker run \
  --name ms-nginx \
  -d --restart=always \
  -p 80:80 \
  -p 443:443 \
  -v /opt/containers/nginx/modsecurity.d:/etc/modsecurity.d \
  -v /opt/containers/nginx/config:/etc/nginx \
  -v /opt/containers/nginx/www:/var/www:ro \
  -v /etc/letsencrypt/:/etc/letsencrypt:ro \
  -v /etc/ssl/dhparam.pem:/etc/ssl/certs/dhparam-2048.pem:ro \
  owasp/modsecurity:nginx-alpine

关于是否需要主Nginx反向代理 #

不是必须的。如果你的业务原本就只有一套Nginx配置，直接用这个集成ModSecurity的容器作为前端代理即可。但如果需要拆分职责（比如主Nginx处理静态文件、证书自动续期，ModSecurity容器专门做WAF防护动态请求），可以采用主Nginx反向代理到ModSecurity容器的架构：

1. 主Nginx容器负责HTTPS证书管理（如用certbot自动续期）、静态文件服务
2. 动态请求通过主Nginx反向代理到ModSecurity容器，再由ModSecurity容器转发到业务后端

这种架构的好处是证书续期不需要重启ModSecurity容器，职责划分更清晰。

内容的提问来源于stack exchange，提问作者CaffeineAddiction