# Nginx web サーバーのセキュリティ

http {
    # 大量リクエストを制限し、DDoS や悪意のあるスクレイピングを防ぎ
    # 1秒間に5リクエストまで許可
    limit_req_zone $binary_remote_addr zone=one:10m rate=5r/s;

    # 不要な情報の非表示
    server_tokens off;

    # ファイルやディレクトリのリスト表示を無効化
    autoindex off;

    # 悪意のあるリクエストをブロック
    if ($query_string ~* "wget|curl|rm|chmod|sh") {
        return 403;
    }
}

server {
    listen 80;
    server_name hapicode.com;
    root /var/www/laravel/public;
    index index.php;

    location / {
        # クロスサイトスクリプティング（XSS）やクリックジャッキングを防ぎ
        add_header X-Frame-Options DENY;
        add_header X-Content-Type-Options nosniff;
        add_header X-XSS-Protection "1; mode=block";

        # 悪質な User-Agent をブロックï
        if ($http_user_agent ~* (python|curl|wget|scrapy|bot)) {
            return 403;
        }

        # リクエストのパラメータに SELECT や DROP などの SQL キーワードが含まれる場合、ブロック
        if ($query_string ~* "union.*select.*\(") {
            return 403;
        }
        if ($query_string ~* "drop.*table") {
            return 403;
        }
    }

    # 攻撃者が .php や .sh を実行禁止
    location ~* \.(php|sh|exe|cgi|pl|py)$ {
        deny all;
    }

    # .htaccess .env .git などの機密ファイルへのアクセスを禁止
    location ~ /\.(?!well-known).* {
        deny all;
        access_log off;
        log_not_found off;
    }
}