Nginx rewite rules 403 error

C'est le comportement standard de nginx pour cette partie de votre configuration :

location /upload { 

    if ($http_referer !~ "^http://(.+\.)?foo\.com/"){ 
        rewrite .*\.(jpe?g|gif|bmp|png)$ /nohotlink.gif break; 
    } 

    location ~ \.(php|sql|php3|php4|phtml|pl|py|jsp|asp|htm|shtml|sh|cgi)$ { 
        deny all; 
    }

}

Pourquoi ?

Permettez-moi de clarifier le fonctionnement des emplacements : lorsque nginx lit les fichiers de configuration, il classe les blocs d'emplacements en 3 types :

• Exactement blocs de localisation, par exemple location = /upload { }
• Préfixe blocs de localisation, par exemple location /upload { }
• Blocs de localisation contenant expressions régulières par exemple location ~ /upload { }

Lorsqu'une requête arrive à nginx, le processus de sélection de l'emplacement se déroule comme suit :

1. Si un bloc d'emplacement correspondant exactement à l'URI est trouvé, nginx arrête de chercher d'autres blocs d'emplacement et répond à cette demande.
2. Si ce n'est pas le cas, nginx recherchera le bloc d'emplacement préfixé correspondant le plus long et le mémorisera avant de passer à l'étape suivante.
3. Ensuite, nginx vérifie séquentiellement les blocs d'emplacement contenant des expressions régulières. Le premier bloc correspondant sera utilisé pour répondre à la demande.
4. Si rien n'a été trouvé à l'étape précédente, nginx utilisera le bloc d'emplacement préfixé de l'étape 2 pour répondre à la requête. Si rien n'a été trouvé, plusieurs choses peuvent se produire, mais c'est hors sujet.

Ainsi, dans votre cas, le bloc de localisation correspondant à l'élément .php est prioritaire sur le bloc de localisation correspondant à l'extension /upload de l'URI.

Editer : Clarification de la solution, ajout d'une solution alternative.

L'utilisation de la ^~ vous pouvez dire à nginx de changer son comportement pour l'étape 2 afin qu'il utilise l'emplacement préfixé correspondant immédiatement, en contournant la recherche d'emplacements par expression régulière. Vous avez donc 2 solutions :

Solution 1 :

upload.access :

if ($http_referer !~ '^http://(.+\.)?foo\.com/') { 
    rewrite '.*\.(jpe?g|gif|bmp|png)$' '/upload/nohotlink.gif' break; 
} 

if ($uri ~ '\.(php|sql|php3|php4|phtml|pl|py|jsp|asp|htm|shtml|sh|cgi)$') {
    return 403; 
}

même bloc serveur

Solution 2 :

upload.access :

if ($http_referer !~ '^http://(.+\.)?foo\.com/') { 
    rewrite '.*\.(jpe?g|gif|bmp|png)$' '/upload/nohotlink.gif' break; 
} 

location ~ \.(php|sql|php3|php4|phtml|pl|py|jsp|asp|htm|shtml|sh|cgi)$ {
    deny all;
}

bloc serveur :

 location ^~ /upload {
     include /etc/nginx/includes/upload.access;
 }

Maintenant, votre configuration actuelle ne mènera à rien si vous ne mettez pas en place un emplacement pour acheminer le traitement des fichiers php : consultez nginx module fastcgi . Vous devrez alors modifier vos règles de réécriture dans le fichier root.access afin qu'elles ne soient pas résolues dans le contexte de l'emplacement actuel (c'est-à-dire créer un emplacement de repli unique et modifier le paramètre break a last pour indiquer à nginx de relancer le processus de sélection de l'emplacement après la réécriture).