nginx作为一款高性能的web服务器和反向代理服务器，被广泛用于应用部署和负载均衡。在安全环保意识的逐渐提高下，https也成为现代web应用中必不可少的一环。本篇文章将重点介绍nginx的https部署和安全性能优化。
一、Nginx的HTTPS部署
- 证书申请
首先需要去证书颁发机构（CA）进行SSL证书的申请。申请成功后，会得到一个证书文件（.crt）和一个私钥文件（.key）。
- HTTPS配置
Nginx的HTTPS配置需要涉及到三个方面：HTTP转发到HTTPS、Nginx的证书配置和HTTPS的配置。
（1）HTTP转发到HTTPS
在Nginx的配置文件中，需要添加一段HTTP的配置，使得用户访问HTTP默认端口80时，能够自动跳转到HTTPS的默认端口443上。
server {
listen 80;
server_name example.com;
return 301 https://$server_name$request_uri;
}（2）Nginx证书配置
在Nginx的配置文件中，需要将刚刚申请的SSL证书和私钥文件添加到配置文件中。
server {
listen 443 ssl;
server_name example.com;
ssl_certificate /path/to/cert.crt;
ssl_certificate_key /path/to/cert.key;
...
}（3）HTTPS配置
需要配置HTTPS协议的具体选项，例如启用HTTP/2协议、禁用SSLv3等。
http2_push_preload on; #启用HTTP/2协议的推送预加载 ssl_protocols TLSv1 TLSv1.1 TLSv1.2; #指定启用的TLS协议版本 ssl_ciphers EECDH+AESGCM:EDH+AESGCM:HIGH:!MD5:!aNULL:!eNULL:!NULL:!DH:!EDH:!AESGCM; #指定加密套件 ssl_prefer_server_ciphers on; #常用加密套件优先顺序为服务端指定的值 ssl_session_cache shared:SSL:10m; #指定SSL session缓存 ssl_session_timeout 10m; #指定SSL session超时时间
二、Nginx的安全性能优化
在进行HTTPS服务的部署后，还需要注意以下安全性能优化方面的问题，以确保服务的稳定和安全：
X-Cart号称是全球最强大的PHP购物车软件，几乎囊括所有电子商务功能，采用网页方式管理后台，多语言支持，智能库存管理，模板定制灵活，功能插件化、模块化。X-Cart分为gold版和Pro版这两个版本。Gold版为普通商店版，Pro为商城版。这款软件的优势是功能比较强大，由于是付费方式采用终生制的开源软件，软件的稳定性、安全性以及可扩展性较强。目前已知的能与x-cart跨平台整合的软件包括了国外
- 检测OCSP响应
OCSP（在线证书状态协议）用于检测证书是否已经被废除。在Nginx的HTTPS配置中，可以通过以下程序进行OCSP响应检测：
ssl_stapling on; ssl_stapling_verify on; ssl_trusted_certificate /path/to/fullchain.pem; resolver 8.8.8.8 8.8.4.4 valid=300s; resolver_timeout 10s;
其中关键点解读如下：
- ssl_stapling on 开启OCSP响应
- ssl_stapling_verify on 开启OCSP响应验证
- ssl_trusted_certificate /path/to/fullchain.pem 配置证书链
- resolver 8.8.8.8 8.8.4.4 valid=300s 配置DNS解析器
- resolver_timeout 10s 配置DNS解析时间
DNS解析器需要配置成公认的可信解析器，这里配置成Google公共DNS。
- 启用HSTS
HSTS（HTTP严格传输安全）防止用户被劫持到HTTP页面，从而提高安全级别。在Nginx的HTTPS配置中，可以像下面这样开启HSTS：
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
其中关键点解读如下：
- max-age=31536000 定义HSTS头的持续时间
- includeSubDomains 启用所有子域名
- 启用安全协议
默认情况下，Nginx只启用了TLSv1和TLSv1.2，如果需要启用其他的加密协议，可以通过以下方式配置：
ssl_protocols TLSv1.3 TLSv1.2 TLSv1.1 TLSv1;
其中关键点解读如下：
- TLSv1.3 定义启用的加密协议
- 启用HMAC密钥算法
通过HTTPS传输的数据，需要使用密钥来加密数据，使用HMAC (Hash-based message authentication code)可以提升数据传输时的安全性。在Nginx配置文件中启用HMAC的方法如下：
ssl_ciphers ... !aNULL !eNULL !EXPORT !CAMELLIA !DES !MD5 !PSK !RC4 !SEED +AES256 !kEDH +SHA256 +HMAC;
其中关键点解读如下：
- AES256 启用AES256加密算法
- +SHA256 启用SHA256哈希函数
- +HMAC 启用HMAC密钥算法
结论
本篇文章介绍了Nginx的HTTPS部署和安全性能优化的主要知识点。在现代Web应用日益复杂的背景下，HTTPS的安全性和性能方面的要求也越来越高，作为系统管理人员，不断更新自己的知识储备，保持对新技术和新环境的专业化视野，是非常必要和重要的。
