Nginx中两类www跳转的server配置是否功能等价？

嘿，这个问题问得很到位——乍一看这俩配置好像效果一模一样，但其实在某些场景下会有差异，咱们慢慢捋清楚：

大多数常规场景下，它们功能等价 #

当你的server块明确配置了server_name example.com，并且所有访问这个server的请求的Host头都是example.com时，$host变量的值就等于example.com。这时候两种写法都会生成https://www.example.com$request_uri的跳转目标，实际使用起来确实没区别，这也是你觉得“正常”的原因。

但在特殊场景下，二者差异明显 #

咱们分别拆解两种写法的逻辑：

• 第一种配置（硬编码域名）：

  server { listen 80; server_name example.com; return 301 https://www.example.com$request_uri; }
  

  它直接把跳转目标的域名主体写死成example.com，不管请求里的Host头是什么，只要请求被这个server块匹配到，就一定会跳转到www.example.com。比如如果有人用伪造的Host头（比如fake-site.com）访问你的服务器，只要这个请求被这个server块承接（比如这个server是默认服务器，或者配置了通配符匹配），跳转目标依然是正确的www.example.com。

• 第二种配置（依赖$host变量）：

  server { listen 80; server_name example.com; return 301 https://www.$host$request_uri; }
  

  这里的$host是Nginx的内置变量，它的取值优先级是：

  1. 请求头里的Host字段
  2. 当前匹配到的server_name
  3. 服务器IP对应的默认域名

  这就意味着，如果请求的Host头不是example.com（比如恶意构造的bad-domain.com），同时这个请求又被这个server块匹配到了，跳转目标就会变成https://www.bad-domain.com$request_uri——这显然不是你想要的结果。

总结建议 #

• 如果你的server块只严格匹配example.com（没有通配符，也不是默认服务器），并且能确保所有请求的Host头都是合法的example.com，那两种配置确实功能等价。
• 但从安全性和严谨性角度来说，第一种硬编码的写法更可靠，它能避免被恶意构造的Host头误导，保证跳转目标始终是你预期的域名。

内容的提问来源于stack exchange，提问作者David Foie Gras