如何拒絕具有特定 url 編碼字符的請求？

Question

我遇到了網站被利用的問題，我嘗試了很多方法來解決這個問題，但我缺少一些技巧來完成它。

問題是我需要拒絕對“/%21/Form/create”的 POST 請求，同時接受對“/./Form/create”的 POST 請求。

我試過了：

location = /%21/Form/create {
deny all;
}

location ~ ^/%21.*/ {
deny all;
}

沒有任何運氣。 我真的很感激一些幫助解決這個問題。

Answer 1

它們是相同的 URL - 但如果您的服務器正在接收兩種形式的請求 - 並且您需要區分它們 - 您可以使用$request_uri來查看最初收到的請求。

可以使用if塊測試該變量。

if ($request_uri = /%21/Form/create) { return 403; }