Nginx rewrite与https

Nginx Rewrite

Rewrite主要实现url地址重写，以及重定向，就是把传入web的请求重定向到其他url的过程。

Rewrite基本概述

1.地址跳转，用户访问www.linux.com这个URL是，将其定向至一个新的域名www.baidu.com。
2.协议跳转，用户通过http协议请求网站时，将其重新跳转至https协议方式。
3.伪静态，将动态页面显示为静态页面方式的一种技术，便于搜索引擎的录入，同时建上动态URL地址对外暴露过多的参数，提升更高的安全性。
4.搜索引擎，SEO优化依赖于url路径，好记的url便于搜索引擎录入。

rewrite语法

Syntax: rewrite regex replacement [flag];
Default:    —
Context:    server, location, if

rewrite         # 模块命令
regex           # 请求的链接（支持正则表达式）
replacement     # 跳转的链接
[flag];         # 标签

# Example :
location /download/ {
    rewrite ^(/download/.*)/media/(.*)\..*$ $1/mp3/$2.mp3 break;
    rewrite ^(/download/.*)/audio/(.*)\..*$ $1/mp3/$2.ra  break;
    return  403;
}

rewrite标记flag

rewrite指令根据表达式来重定向URL，或者修改字符串，可以应用于server，location，if环境下，每行rewrite指令最后跟一个flag标记，支持的flag标记有如下表格所示：

flag	作用
last	本条规则匹配完成后，停止匹配，不再匹配后面的规则
break	本条规则匹配完成后，停止匹配，不再匹配后面的规则
redirect	返回302临时重定向，地址栏会显示跳转后的地址
permanent	返回301永久重定向，地址栏会显示跳转后的地址

last和break的区别

定义3个location，第一个匹配路径/break，flag为break，第二个匹配路径/last，flag为last，第三个匹配/test，返回test文本。

server {
    server_name _;
    listen 80;

    location ~ ^/break {
        rewrite (.*) /test break;
    }

    location ~ ^/last {
        rewrite (.*) /test last;
    }

    location /test {
        default_type text/html;
        return 200 "test";
    }
}

在浏览器输入192.168.15.5/break,显示404

我们查看nginx错误日志显示：

2022/01/07 15:43:13 [error] 1409#1409:
*8 open() "/usr/share/nginx/html/test" failed (2: No such file or directory),
client: 192.168.15.1,
server: _,
request: "GET /break HTTP/1.1", host: "192.168.15.5"

---

在浏览器输入http://192.168.15.5/last，显示test。

梳理过程

break请求：

1.请求192.168.15.5/break
2.匹配 location ~ ^/break url重写重写成 192.168.15.5/test
3.根据修改后的 url 找本地站点目录下的资源
4.如果找到了，则返回/test/index.html的内容；
5.如果没找到该目录则报错404，如果找到该目录没找到对应的文件则403

last请求:

1.请求192.168.15.5/last
2.匹配 location ~ ^/last url重写成 192.168.15.5/test
3.跳出location块重新进入server块匹配location
4.匹配到 location /test 直接返回该location的内容
5.如果也没有location匹配，再返回404;

redirect和permanent的区别

我们在/etc/nginx.conf配置文件server中加入两个location，两个flag都是重定向。

location /redirect {
    rewrite (.*) http://www.baidu.com redirect;
}
location /permanent {
    rewrite (.*) http://www.baidu.com permanent;
}

无论是在浏览器输入192.168.15.5/redirect还是192.168.15.5/permanent都跳转到了百度。此时我们stop nginx服务，再分别访问它们，结果如下：

permanent还是发生了重定向。

结论

redirect: 每次请求都会询问服务器，如果当服务器不可用时，则会跳转失败。

permanent: 第一次请求会询问，浏览器会记录跳转的地址，第二次则不再询问服务器，直接通过浏览器缓存的地址跳转。

HTTPS

HTTPS （全称：Hyper Text Transfer Protocol over SecureSocket Layer），是以安全为目标的 HTTP 通道，在HTTP的基础上通过传输加密和身份认证保证了传输过程的安全性 。HTTPS 在HTTP 的基础下加入SSL，HTTPS 的安全基础是 SSL，因此加密的详细内容就需要 SSL 。 HTTPS 存在不同于 HTTP 的默认端口及一个加密/身份验证层（在 HTTP与 TCP 之间）。这个系统提供了身份验证与加密通讯方法。它被广泛用于万维网上安全敏感的通讯，例如交易支付等方面。

加密流程

1. 浏览器发起往服务器的443端口发起请求，请求携带了浏览器支持的加密算法和哈希算法。

2. 服务器收到请求，选择浏览器支持的加密算法和哈希算法。

3. 服务器下将数字证书返回给浏览器，这里的数字证书可以是向某个可靠机构申请的，也可以是自制的。

4. 浏览器进入数字证书认证环节，这一部分是浏览器内置的TLS完成的：

   4.1 首先浏览器会从内置的证书列表中索引，找到服务器下发证书对应的;机构，如果没有找到，此时就会提示用户该证书是不是由权威机构颁发，;是不可信任的。如果查到了对应的机构，则取出该机构颁发的公钥。

   4.2 用机构的证书公钥解密得到证书的内容和证书签名，内容包括网站的网址、网站的公钥、证书的有效期等。浏览器会先验证证书签名的合法性（验证过程类似上面Bob和Susan的通信）。签名通过后，浏览器验证证书记录的网址是否和当前网址是一致的，不一致会提示用户。如果网址一致会检查证书有效期，证书过期了也会提示用户。这些都通过认证时，浏览器就可以安全使用证书中的网站公钥了。

   4.3 浏览器生成一个随机数R，并使用网站公钥对R进行加密。

5. 浏览器将加密的R传送给服务器。

6. 服务器用自己的私钥解密得到R。

7. 服务器以R为密钥使用了对称加密算法加密网页内容并传输给浏览器。

8. 浏览器以R为密钥使用之前约定好的解密算法获取网页内容。

证书对比

对比	域名型 DV	企业型 OV	增强型 EV
绿色地址栏	小锁标记+https	小锁标记+https	小锁标记+企业名称+https
一般用途	个人站点和应用； 简单的https加密需求	电子商务站点和应用； 中小型企业站点	大型金融平台； 大型企业和政府机构站点
审核内容	域名所有权验证	全面的企业身份验证； 域名所有权验证	最高等级的企业身份验证； 域名所有权验证
颁发时长	10分钟-24小时	3-5个工作日	5-7个工作日
单次申请年限	1年	1-2年	1-2年
赔付保障金	——	125-175万美金	150-175万美金

自签证书

# 创建存放证书文件
[root@web01 nginx]# mkdir ssl
[root@web01 nginx]# cd ssl

# 使用openssl命令充当CA权威机构创建证书（生产不使用此方式生成证书，不被互联网认可的黑户证书）
[root@web01 ssl]# openssl genrsa -idea -out server.key 2048
Generating RSA private key, 2048 bit long modulus
...............................+++
........+++
e is 65537 (0x10001)
Enter pass phrase for server.key: 123456
Verifying - Enter pass phrase for server.key: 123456

[root@web01 ssl]# ll
total 4
-rw-r--r--. 1 root root 1739 Dec  9 11:27 server.key

# 生成自签证书(公钥)，同时去掉私钥的密码
[root@web01 ssl]# openssl req -days 36500 -x509 -sha256 -nodes -newkey rsa:2048 -keyout server.key -out server.crt
Generating a 2048 bit RSA private key
.....................................+++
............+++
writing new private key to 'server.key'
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:
string is too long, it needs to be less than  2 bytes long
Country Name (2 letter code) [XX]:
State or Province Name (full name) []:
Locality Name (eg, city) [Default City]:
Organization Name (eg, company) [Default Company Ltd]:
Organizational Unit Name (eg, section) []:
Common Name (eg, your name or your server's hostname) []:
Email Address []:

# req  --> 用于创建新的证书
# new  --> 表示创建的是新证书
# x509 --> 表示定义证书的格式为标准格式
# key  --> 表示调用的私钥文件信息
# out  --> 表示输出证书文件信息
# days --> 表示证书的有效期
# sha256 --> 加密方式

#1.开启证书
Syntax: ssl on | off;
Default:    ssl off;
Context:    http, server

#2.指定证书文件
Syntax: ssl_certificate file;
Default:    —
Context:    http, server

#3.指定私钥文件
Syntax: ssl_certificate_key file;
Default:    —
Context:    http, server


[root@web01 conf.d]# cat https.conf
server {
    listen              443 ssl;
    server_name         _;
    ssl_certificate     /etc/nginx/ssl/server.crt;
    ssl_certificate_key /etc/nginx/ssl/server.key;
    ...
}

通过https访问服务器，