eilandert/nginx

Nginx — 强化、高性能、模块化Docker镜像

一个强化的nginx 镜像，基于deb.myguard.nl的nginx-full包构建：支持HTTP/3/QUIC，包含大量动态模块集（ModSecurity、PageSpeed、Brotli、zstd、Lua、GeoIP、VTS、njs等），ModSecurity-CRS，以及由包本身提供的SSL-Labs-A++级别的默认nginx.conf配置。可选捆绑PHP-FPM（单版本或多版本），实现一体化Web+PHP容器。

是的，这是另一个Nginx镜像。但它没有使用完整的权限集和2014年的旧配置。它启动时会先测试自身配置，明确告诉你启动失败的原因，而不是在凌晨3点默默重启循环。不用谢。

链接

• 📦 镜像源/仓库： https://github.com/eilandert/dockerized/tree/master/src/nginx
• 🐳 Docker Hub： https://hub.docker.com/r/eilandert/nginx
• 📖 详细说明/导览： <[***]>
• 🧩 nginx包/模块列表： <[***]>
• 🏠 deb.myguard.nl： <[***]>

标签

两个名称指向相同的镜像 — eilandert/nginx（当前）和旧版eilandert/nginx-modsecurity3-pagespeed（仍在发布，因为破坏他人的docker-compose.yml是不礼貌的）。Debian标签前缀为deb-；Ubuntu标签没有前缀。

是的，php5.6存在。我们不会讨论你的选择。它是为那些你发誓"下个季度"会重写的遗留应用准备的。

镜像内容

• nginx-full 来自deb.myguard.nl — HTTP/3/QUIC，完整动态模块集，ModSecurity v3 + OWASP CRS，PageSpeed。与brotli、zstd、geoip-bin、LuaJIT/lua-resty堆栈、fcgiwrap、modsecurity-crs一起安装。
• 包提供的配置 — 包自带的nginx.conf（仅TLS 1.3/1.2 AEAD，OCSP-ready，HTTP/2+3优化，slowloris超时设置，server_tokens off，gzip）和snippets/（ssl-labs-aplus.conf，security.conf，cloudflare.conf，proxy.conf，cache-key-normalize.conf，wordpress-example.conf等）。此镜像不捆绑自己的代码片段 — 包已经做好了这些工作。
• 首次启动即可工作的默认虚拟主机 — 已启用，在未挂载证书的情况下使用自签名证书提供HTTPS服务。docker run后访问:443即可。浏览器会抱怨证书；这是证书正常工作的表现，不是需要提交的bug。
• 存活和就绪健康检查 — 探测环回healthz虚拟主机，在PHP镜像上还会检查php-fpm是否存活。"nginx已启动"和"网站正常工作"不是一回事，这个镜像清楚这一点。
• 可选择的内存分配器 通过MALLOC（默认jemalloc，可选mimalloc，none）。
• 当使用PHP标签时，可选PHP-FPM + nullmailer + composer。

首次运行行为 (bootstrap.sh)

• 首次启动时，将包默认配置从/etc/nginx.orig复制到（可能是空的）/etc/nginx，并将/etc/modsecurity.orig复制到/etc/modsecurity。已存在的配置会被保留 — 不会覆盖你的工作。
• 从包副本刷新mime.types、scripts/、snippets/、modules-available/，然后运行scripts/reorder-modules.sh。
• 备用蛇油证书： 如果未挂载证书，默认虚拟主机使用自签名蛇油证书，使:443立即响应。
• 模块加载： 如果没有设置NGX_MODULES，则加载所有模块 — 较慢，是发现哪些模块需要配置的好方法。它会警告并禁用mod-http-lua/mod-stream-lua（它们需要手动配置）。设置NGX_MODULES 只加载你使用的模块。touch /etc/nginx/modules-enabled/.quiet可以保留所有模块并消除警告。
• 启动配置测试是致命的： 启动前运行nginx -t。配置错误 → 明确的错误信息和干净的exit 1。没有神秘的重启循环，无需猜测，不会出现"在我机器上能运行"的情况。
• 24小时重载循环 用于获取更新的证书和轮换TLS会话票据密钥（前向保密）。它会先运行nginx -t，如果配置损坏则跳过重载 — 不会因为你在挂载文件中输错一个分号而搞垮你的生产环境。
• 根据MALLOC设置LD_PRELOAD，然后exec nginx -g 'daemon off;'。

环境变量

快速开始

sh
curl -fsSLO https://raw.githubusercontent.com/eilandert/dockerized/master/src/nginx/docker-compose.yml
$EDITOR docker-compose.yml      # 设置NGX_MODULES、挂载点、TZ — 阅读它，不要只是复制粘贴
docker compose up -d

docker-compose.yml

yaml
services:
  nginx:
    container_name: nginx
    image: docker.io/eilandert/nginx:deb-latest
    stop_grace_period: 3s
    restart: always
    ports:
      - 80:80
      - 443:443
      - 443:443/udp           # HTTP/3 / QUIC
    # ---- 安全强化：主进程是root（端口绑定+工作进程生成），因此只需要少量
    # 必要的capabilities，而不是默认的全部 ----
    security_opt:
      - no-new-privileges:true
    cap_drop: [ALL]
    cap_add: [NET_BIND_SERVICE, SETUID, SETGID, CHOWN, DAC_OVERRIDE]
    ulimits:
      nofile: { soft: 65535, hard: 65535 }   # 匹配worker_rlimit_nofile
    volumes:
      - ./config/nginx:/etc/nginx:rw
#      - ./config/modsecurity/:/etc/modsecurity:rw
#      - ./cache/nginx:/var/cache/nginx:rw
      # 如果使用PHP标签：
#      - ./config/php:/etc/php:rw
#      - ./config/nullmailer:/etc/nullmailer:rw
      # 与letsencrypt容器一起使用：
#      - ./letsencrypt/certs:/etc/letsencrypt:ro
#      - ./letsencrypt/html:/var/www/html:ro
    environment:
      - TZ=Europe/Amsterdam
      - MALLOC=jemalloc        # jemalloc (默认) | mimalloc | none
      # 只启用你使用的模块（完整列表：deb.myguard.nl/nginx-modules/）
      - NGX_MODULES=mod-security-headers,mod-http-fancyindex
      # 如果使用:multi标签，选择PHP版本：
#      - PHP56=YES
#      - PHP74=YES
#      - PHP80=YES
#      - PHP82=YES
#      - PHP84=YES
#      - PHP85=YES

可启用的模块包括mod-http-brotli、mod-http-cache-purge、mod-http-dav-ext、mod-http-doh、mod-http-fancyindex、mod-http-geoip2、mod-http-headers-more-filter、mod-http-image-filter、mod-http-lua、mod-http-njs、mod-http-subs-filter、mod-modsecurity、mod-nchan、mod-pagespeed、mod-rtmp、mod-security-headers、mod-vts、mod-stream — 完整列表见<[***]>。

安全与强化

因为"它在防火墙后面"不是一种安全模型。

• deb.myguard.nl apt仓库添加了**signed-by GPG验证**（密钥环随基础镜像提供 — 没有trusted=yes，没有设计上的MITM漏洞）。
• 基于强化的MyGuard基础镜像构建：SUID/SGID已剥离，系统用户已精简，核心转储已关闭，文档/man/语言环境已清除。
• nginx主进程以root运行，工作进程降权为www-data；配置目录为root:www-data，组写权限已剥离；可写目录预创建为0750；此层中所有setuid/setgid位均已剥离。
• server_tokens off；隐藏上游X-Powered-By/X-Generator头 — ***者需要费力才能识别你的系统。
• 健康检查虚拟主机仅环回访问；公共默认返回444（"我甚至不屑于给那个请求一个状态行"响应）。
• Compose配置使用no-new-privileges，cap_drop: [ALL]，只保留nginx实际需要的五个capabilities。
• TLS会话票据密钥每日轮换以确保前向保密。

在此容器或上游代理终止TLS；包的ssl-labs-aplus.conf片段+HSTS假设仅使用HTTPS。如果在生产环境中通过纯HTTP提供服务，那是你和你的事件报告之间的事。

构建

Dockerfile由.generate.sh从Dockerfile.template生成（每个PHP版本×{Debian, Ubuntu}+基础+多版本各一个）。编辑模板，不要编辑生成的Dockerfile-* — 它们会被覆盖，你的"快速修复"也会随之丢失。通过仓库根目录的docker-bake.hcl（nginx组）构建/标记镜像。构建时注入来源标签：

sh
VCS_REF=$(git rev-parse --short HEAD) \
BUILD_DATE=$(date -u +%Y-%m-%dT%H:%M:%SZ) \
  docker buildx bake nginx --push