Nginx服务器禁用TRACE和OPTIONS危险HTTP方法配置_网站安全运维实战指南
做了这么多年网站运维，禁用危险HTTP方法TRACE OPTIONS的案例见过太多。很多人处理不彻底导致反复出问题，本文强调的就是一次性解决到位的方法。
Nginx环境下用limit_except指令只允许GET和POST方法，其他方法返回405。配置写在location块里，示例：limit_except GET POST { deny all; }。改完后测试正常访问和恶意方法请求。
SSL证书和HTTPS配置不能马虎。网站必须强制HTTPS访问，配置HSTS头防止协议降级攻击。证书到期前30天就要续期，避免证书过期导致浏览器警告和访客流失。
数据库安全要重视。数据库账号只授予必要权限，不要用root账号连网站。远程访问功能不需要就关掉，数据库端口不对外暴露。定期检查数据库中的异常管理员账号。
处理完成后要做验证。用安全扫描工具跑一遍，确认没有残留漏洞和恶意文件。同时观察3到7天的访问日志和文件变化，确认网站处于稳定安全状态。
日志分析是找出攻击入口的有效手段。通过分析访问日志中的异常请求，能定位到攻击者利用了哪个漏洞、上传了什么文件、操作了哪些数据，为后续修补提供依据。
服务器被入侵后，攻击者通常会留下多个后门维持权限，还可能清除日志掩盖痕迹。普通的文件删除根本清不干净，必须用专业方法做深度排查。
从运维数据看，超过70%的网站安全问题源于已知漏洞未及时修补和弱口令。处理当前问题的同时，必须把根源漏洞补上，否则过不了多久还会被再次入侵。
第三方代码和模板要谨慎使用。从官方渠道下载CMS和插件，不要用来路不明的破解版和免费模板，这些东西里经常被植入后门。使用前先做安全扫描再上线。
代码审计重点看index.php、config.php、common.php这类全局加载的文件，攻击者喜欢在这些文件里注入一句话木马，保证每次访问都能触发。base64_decode、eval、assert这些函数是重点检查对象。
处理这类问题的核心思路是先止损再清理最后加固。第一步切断攻击者的访问路径，把已经发现的恶意入口全部封掉，防止攻击者在清理过程中继续操作。
Apache环境下在httpd.conf或.htaccess中用Limit和LimitExcept指令控制。也可以用mod_rewrite规则拦截非GET POST请求，返回403状态码。配置后用curl -X TRACE命令验证是否被拦截。
TRACE方法会把请求原样返回给客户端，攻击者可以利用它进行XST（跨站追踪）攻击，窃取用户的Cookie和认证信息。这个方法在所有网站中都应该禁用，没有任何正常业务需要用到它。
个人站长反馈：作为新手本来以为要花很多钱请人处理，照着文章步骤自己操作，花了一个下午就搞定了。省了几百块服务费，还学到了安全知识。
最后强调：密码安全是最容易被忽视也是最重要的环节。处理完安全事件后，所有相关密码必须全部更换，且使用强密码。这一步偷懒等于前面的工作白做。
更新时间：2026-08-26 20:47:00
上一篇：修改公司网站底部版权信息_模板footer与后台设置（进阶技巧）