Plesk管理的CakePHP应用中NGINX限流配置引发特定路由404错误的解决方法咨询

你好，我来帮你排查这个问题并给出解决方案。你的核心问题是自定义的NGINX location规则覆盖了Plesk默认的反向代理逻辑，导致请求没有正确传递给Apache处理CakePHP的路由，从而出现404错误。下面分步骤来解决：

一、解决404错误的核心配置调整 #

你之前的配置问题在于：单独定义location /my/path后，没有正确传递完整的请求URI给Apache，而且缺少Plesk默认代理配置里的必要请求头，导致Apache/CakePHP无法识别完整的路由路径。

正确的配置应该这样写（在Plesk的额外NGINX指令中添加）：

# 匹配/my/path开头的所有子路径
location ~ ^/my/path(/.*)?$ {
    # 应用限流规则
    limit_req zone=mylimit burst=10 nodelay;
    
    # 关键：传递完整的请求URI给Apache，确保CakePHP能匹配路由
    proxy_pass https://PUBLIC-SERVER-IP:PORT$request_uri;
    
    # 复制Plesk默认代理的必要请求头，保证Apache能正确识别请求来源和主机信息
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
}

为什么这样能解决404？ #

• 正则~ ^/my/path(/.*)?$会匹配/my/path以及它的所有子路径（比如/my/path/foo），覆盖CakePHP路由的所有可能请求。
• $request_uri会把原始的完整请求路径传递给Apache，比如请求/my/path会原封不动地转发给Apache，而不是被NGINX截断成/。
• 那些proxy_set_header指令是Plesk默认代理配置里的核心内容，缺失的话Apache可能无法正确处理主机头或来源IP，进而导致CakePHP路由解析失败。

二、额外优化：避免与Plesk默认配置冲突 #

如果你担心手动复制请求头会遗漏Plesk的其他默认配置，可以换一种方式——在Plesk默认的location /块内嵌套限流规则，这样会自动继承所有代理配置：

location / {
    # 仅对/my/path开头的请求应用限流
    if ($request_uri ~ ^/my/path) {
        limit_req zone=mylimit burst=10 nodelay;
    }
    
    # 保留Plesk默认的代理配置（不要修改这一行，Plesk会自动填充正确的proxy_pass）
    proxy_pass https://PUBLIC-SERVER-IP:PORT;
}

这种方式更安全，因为完全复用了Plesk的默认代理逻辑，不会因为遗漏配置导致其他问题。

三、实现超限流IP的封禁 #

要封禁超过速率限制的IP，最常用且灵活的方式是结合Fail2ban，步骤如下：

1. 确保NGINX的日志格式包含限流相关的信息，比如在nginx.conf中定义日志格式时加入$limit_req_status：

log_format main '$remote_addr - $remote_user [$time_local] "$request" '
                '$status $body_bytes_sent "$http_referer" '
                '"$http_user_agent" "$http_x_forwarded_for" '
                '$limit_req_status';

2. 在Fail2ban中创建一个新的过滤规则（比如/etc/fail2ban/filter.d/nginx-limit-req.conf）：

[Definition]
failregex = ^<HOST> .* limit_req:.*
ignoreregex =

3. 在Fail2ban的 jail配置中启用这个规则，设置封禁时长和阈值：

[nginx-limit-req]
enabled = true
filter = nginx-limit-req
logpath = /var/log/nginx/*access.log
maxretry = 5
bantime = 3600  # 封禁1小时
findtime = 60   # 1分钟内触发5次则封禁

4. 重启Fail2ban服务：systemctl restart fail2ban

这样当某个IP在1分钟内触发5次限流时，就会被自动封禁1小时。

备注：内容来源于stack exchange，提问作者magic.77