如果 Apache 位于 Nginx 之后，则 ModSecurity 必不可少

Question

我的 Apache 安装在 Nginx 后面。因此，每个传入的请求都首先由 Nginx 处理。如果需要动态内容，则请求将发送到监听端口 8080 的 Apache。

相当基本的反向代理设置。

现在，通过此设置，第一个入口点是 Nginx。是否仍需要安装 ModSecurity 来保护 Apache 免受不必要的请求。

或者我应该只专注于保护 Nginx，因为这是第一个切入点。

欢迎一切建议。

Answer 1

如果您的网站托管任何类型的 Web 应用或可由最终用户贡献的动态内容（如评论），我会说“是”并“是”在 Apache 服务器上使用 ModSecurity。如果您的网站有表单，那么 ModSecurity 是个好主意。

ModSecurity 并不保护 Apache。它保护它所服务的 Web 应用程序和表单免受攻击。因此，它的目的是帮助保护网站免受攻击跨站脚本，SQL 注入， 和跨站请求伪造/跨站请求伪造攻擊。

Answer 2

您的重点应该放在应用程序本身上。Nginx 和 mod_security 之类的插件很有用，也许是第一道防线，但如果您的 Web 应用程序存在明显漏洞，它们就无能为力。