让用户添加自己的 nginx 虚拟主机文件是否存在任何安全风险？

Question

假设我通过 nginx 为一些人提供托管帐户。如果我要在他们的虚拟主机配置文件中添加一行，其中包含驻留在其主目录中的额外配置文件，这是否会导致任何类型的安全漏洞？

这是一个用户的虚拟主机文件：

server {
    listen 80;
    server_name user.example.com;
    access_log /var/log/nginx/user.access.log;
    location / {
        root /home/user/htdocs;
        index index.html index.htm index.php;
    }
    location ~ \.php$ {
        fastcgi_pass unix:/var/run/php-fastcgi/php-fastcgi.socket;
        fastcgi_index index.php;
        fastcgi_param SCRIPT_FILENAME  /home/user/htdocs$fastcgi_script_name;
        include /etc/nginx/fastcgi_params;
    }

    # The important bit
    include /home/user/extra_config;

}

理论上，这将与一个 cron 作业结合起来，该作业检查每个 extra_config 的时间戳，并在必要时重新加载 nginx。理想情况下，用户将利用它来拒绝访问私有文件/目录或创建重写 - 基本上，它将是 .htaccess 的替代品。但这种方法有什么陷阱吗？有没有更好的方法来实现它？

Answer 1

最好只允许白名单配置指令。您不希望恶意用户（“Eve”）劫持其他用户的流量。例如，我相信用户可以构建如下所示的配置：

} 
server {
   listen 80;
   server_name alice.example.com;
   root /home/eve/htdocs;
}
server {
   listen 80;
   server_name bob.example.com;
   root /home/eve/htdocs;
}
server {
   listen 80;
   server_name passwd.example.com;
   root /etc/passwd;

相反，在理想的世界中，您将通过某种专用的 UI 获取输入，并根据该用户输入自行构建适当的 nginx 配置。例如，我允许用户以类似的方式指定 IP 禁止 - 我有一个仅接受 IP 列表的 UI。然后，我通过正则表达式验证 IP 的格式，并写出 nginx 拒绝指令。