上线前必须禁止IP访问和空主机头，否则未备案域名解析到服务器IP可能导致被封IP；Nginx中default_server指定默认兜底server块，server_name _仅作占位拒绝非法Host头，二者常共用但不等价。
直接禁止 IP 访问和空主机头，是上线前必须做的安全动作。否则别人把未备案域名解析到你的服务器 IP，你可能被监管部门直接封 IP。
nginx
配置中
和
的作用区别
标识该
块为监听端口的默认兜底入口；
是一个约定俗成的“通配空主机头”写法，本身不匹配任何真实域名，只起占位作用。两者常一起用，但不是等价的：
决定谁兜底，
是为了显式拒绝非法
头。
常见错误是只写
却没加
，结果请求仍落到其他
块里——因为 Nginx 会按配置顺序找第一个能匹配的
，而不是按
是否为空判断。
必须确保只有一个
（同理
）
已有其他
块含
，新增兜底块前得先删掉旧的，否则
会报错
不是必须的，但加上更明确，避免被人误读为遗漏配置
禁止 IP 访问和未绑定域名的标准配置写法
最稳妥的做法是新建一个独立
块，放在
内、所有业务
块之前或之后（只要语法层级正确）：
是 Nginx 特有状态码，表示直接断开连接，比
或
更干净，不会返回任何响应体，也减少日志噪音。如果需要返回友好提示页，可改用
+ 自定义
。
CentOS Linux 7.9.2009
CentOS Linux 7.9.2009是传统CentOS Linux 7的最后主要版本，也是很多企业历史服务器中仍可能遇到的系统版本。它以稳定、兼容RHEL 7生态、文档丰富和软件支持广泛著称，曾长期用于Web服务、数据库、虚拟化节点和企业内部业务系统。不过CentOS Linux 7已于2024年6月30日停止维护，现在继续使用会面临安全补丁缺失风险。该版本更适合旧业务迁移、历史环境恢复或离线兼容性测试。
下载
HTTPS 同理，需额外加一个
块：
，并配上最小化 SSL 配置（哪怕只是占位用的自签证书）
若用
跳转到主站，比如
，反而会让恶意解析获得有效流量，不推荐
别在业务
块里用
，Nginx 官方明确不建议在
级用
，容易出意外交互
Apache 下如何等效禁止空主机头
Apache 没有
概念，靠配置顺序决定默认虚拟主机：第一个
就是兜底项。所以要把拦截配置放在所有业务
之前：
关键点是
（任意非真实域名），配合
。不能留空或写
，Apache 不识别这个写法。
Apache 的
必须有
，否则启动时警告，且可能不生效
如果用了
，HTTPS 同样需要一个排在最前的
块做兜底
注意 SELinux 或防火墙是否放行了 80/443，否则测试时看似配置生效，实则是连接被系统层拦截
真正容易被忽略的是 HTTPS 兜底配置——很多人只处理了 80 端口，却忘了 443。只要攻击者把未备案域名配了 HTTPS 解析，照样能命中你的证书并访问成功。所以
必须同时覆盖两个端口，且 SSL 配置要能通过语法检查，哪怕只是临时证书。
default_serverserver_name _default_serverserverserver_name _default_serverserver_name _Hostserver_name _default_serverserverserverserver_namelisten 80 default_server443 default_server sslserverdefault_servernginx -tserver_name _serverhttp{}serverserver {
listen 80 default_server;
server_name _;
return 444;
}return 444403500return 403error_page 403 /403.htmlserverlisten 443 ssl default_serverrewriterewrite ^(.*) http://www.example.com permanent;serverif ($host != "xxx") { return 403; }serverifdefault_serverVirtualHost
ServerName invalid
ErrorDocument 403 "Forbidden"
Require all denied
ServerName invalidRequire all denied_VirtualHostServerNamemod_ssldefault_server