Nginx 配置安全与性能审计
这个 skill 解决什么
你的站点跑在 Nginx 上，但配置可能藏着隐患：版本号随错误页泄露、TLS 还在用已被攻破的
TLS1.0/1.1、缺安全响应头让站点易被点击劫持/ MIME 嗅探、没做限流被 CC 打挂、目录列表开着能
被翻家底。把配置文件喂进来，一次性看清 8 大维度的配置级风险，并拿到能直接复制的修复片段。
何时使用
- 新站点上线前自检 / 已有 Nginx 定期巡检。
- 安全加固整改后复核配置是否达标。
- 需要向客户/团队出具一份"Nginx 配置基线体检"作为交付物。
输入格式（nginx.conf 或 conf.d 下任意站点配置，纯文本）
# 直接粘贴 nginx.conf 全文，或某个站点 .conf
# 支持 http / server / location 块；注释以 # 开头
缺失的配置项不会报错，只会被标记为"未设置（建议补全）"，其余维度照常检查。
用法
# 文本报告
python scripts/audit.py assets/sample_nginx.conf
# JSON（接入看板 / CI）
python scripts/audit.py nginx.conf --format json --output report.json
# 从标准输入
cat nginx.conf | python scripts/audit.py -
输出示例（节选，对 sample_nginx.txt 跑出的问题）
- [MEDIUM] server_tokens 未关闭 → 版本号泄露
- [HIGH] ssl_protocols 启用 TLSv1/TLSv1.1 → 降级攻击风险
- [HIGH] 缺安全响应头(X-Frame-Options/CSP/X-Content-Type-Options)
- [MEDIUM] autoindex 开启 → 目录可被遍历
- [LOW] 未配置 limit_req / client_max_body_size → 缺基础防护
- 附安全评分与优先修复清单
审计维度（深度说明见 references/methodology.md）
server_tokens 信息泄露 · TLS 协议与套件 · 安全响应头 · HTTP→HTTPS 重定向 ·
请求体/超时防护 · 目录列表与限流 · 运行身份与权限。
合规与边界
- 本工具为防御性的配置审计与加固建议，不修改任何配置、不发起任何网络请求，仅解析你主动提供的配置文本。
- 所有分析在本地完成，不上传任何数据，适合含敏感拓扑的内网环境。
- 修复片段默认仅输出建议，需你确认后在目标机执行；生产环境改动前请先备份与灰度。
