遇到一个奇怪的问题：nginx+fastcgi+php+某论坛程序的环境下，通过论坛上传的比较大（500KB）的文件下载后体积变小了。而较小的文件（100KB）则安然无恙。
用WinHex比较，可以看到文件从中间被截断了，并且没有多出任何内容。使用经多次测试，每次下载的大小在64KB左右（小于64KB），但不相 同。下载到64KB左右的时候卡住了，几秒钟之后下载进度直接跳到100%，显示下载完成。为排除伟大的墙的因素，翻 墙测试，每次下载的大小在127KB左右。
找到论坛源代码，可以看到使用的是php的readfile()进行文件输出，而在输出前已经写入了content-length header。通过HttpFox进行观察，content-length的大小是正确的文件大小。
由于64KB这个大小比较敏感，所以去代码里找了有没有循环缓存读取文件的地方，并没有发现。readfile()直接读取全部内容进行输出。
为了排查，先将服务器切换到httpd(mod_php)，则恢复正常，也就是说问题很可能在nginx和fastcgi上。
检查nginx.conf，注意到这个地方：
fastcgi_buffer_size 64k;
fastcgi_buffers 4 64k;
它的值正好等于64K，也就是说问题可能和它有关。将其修改为16K，重启nginx服务，重新下载，这次文件的大小变成了16KB左右。
检查日志发现这么一行：
2010/07/15 02:11:40 [crit] 6064#0: *112 open() "/var/lib/nginx/tmp/fastcgi/1/00/0000000001" failed (13: Permission denied)
nginx会使用fastcgi_buffer_size指定的大小的缓冲区用于缓存fastcgi流的内容。当大小超出此大小时会继续用fastcgi_buffers指定的数量和大小申请缓冲区。如果依然超出此大小，会将多出的内容写入临时文件。
也就是说，在本情况下，nginx首先会使用一个64K的缓冲区缓冲fastcgi流的第一部分，超出后最多申请4*64K=256K的缓冲区用于缓冲。如果继续超出，则写入临时文件。
下载100KB的文件时，内存完全足够，不用写入临时文件，所以没有问题。
下载500KB的文件，64KB+64KB*4已经装不下这个文件，需要使用临时文件。
而日志中反应的就是nginx无权写入临时文件。我不清楚nginx在这里具体是如何实现的，个人猜测可能在写入失败后就放弃了后面4个缓冲区，发 送完第一个缓冲区后就停止发送。如果是这样，一旦超过keep-alive的时间，服务器会断开tcp连接，浏览器认为文件下载完成。考虑header的 大小，浏览器下载的文件略小于64KB。这样一来就能够解释通观察到的现象。
将目录权限问题修正后，问题解决。
有时间要好好看看nginx源代码，作进一步确认。
nginx rewrite 伪静态配置参数和使用例子(附正则使用说明)
正则表达式匹配，其中：
* ~ 为区分大小写匹配
* ~* 为不区分大小写匹配
* !~和!~*分别为区分大小写不匹配及不区分大小写不匹配
文件及目录匹配，其中：
* -f和!-f用来判断是否存在文件
* -d和!-d用来判断是否存在目录
* -e和!-e用来判断是否存在文件或目录
* -x和!-x用来判断文件是否可执行
flag标记有：
* last 相当于Apache里的[L]标记，表示完成rewrite
* break 终止匹配, 不再匹配后面的规则
* redirect 返回302临时重定向 地址栏会显示跳转后的地址
* permanent 返回301永久重定向 地址栏会显示跳转后的地址
一些可用的全局变量有，可以用做条件判断(待补全)
$args
$content_length
$content_type
$document_root
$document_uri
$host
$http_user_agent
$http_cookie
$limit_rate
$request_body_file
$request_method
$remote_addr
$remote_port
$remote_user
$request_filename
$request_uri
$query_string
$scheme
$server_protocol
$server_addr
$server_name
$server_port
$uri
结合QeePHP的例子：
rewrite ^/([a-z-A-Z]+)/([a-z-A-Z]+)/?(.*)$ /index.php?namespace=user&controller=$1&action=$2&$3 last;
rewrite ^/([a-z-A-Z]+)/?$ /index.php?namespace=user&controller=$1 last;
break;
多目录转成参数
abc.domian.com/sort/2 => abc.domian.com/index.php?act=sort&name=abc&id=2
if ($host ~* (.*)\.domain\.com) {
set $sub_name $1;
rewrite ^/sort\/(\d+)\/?$ /index.php?act=sort&cid=$sub_name&id=$1 last;
}
目录对换
/123456/xxxx -> /xxxx?id=123456
rewrite ^/(\d+)/(.+)/ /$2?id=$1 last;
例如下面设定nginx在用户使用ie的使用重定向到/nginx-ie目录下：
if ($http_user_agent ~ MSIE) {
rewrite ^(.*)$ /nginx-ie/$1 break;
}
目录自动加“/”
rewrite ^/(.*)([^/])$ http://$host/$1$2/ permanent;
}
禁止htaccess
deny all;
}
禁止多个目录
deny all;
break;
}
禁止以/data开头的文件，可以禁止/data/下多级目录下.log.txt等请求;
deny all;
}
禁止单个目录，不能禁止.log.txt能请求
deny all;
}
禁止单个文件
deny all;
}
给favicon.ico和robots.txt设置过期时间;
这里为favicon.ico为99 天,robots.txt为7天并不记录404错误日志
location ~(favicon.ico) {
log_not_found off;
expires 99d;
break;
}
location ~(robots.txt) {
log_not_found off;
expires 7d;
break;
}
设定某个文件的过期时间;这里为600秒，并不记录访问日志
access_log off;
root /opt/lampp/htdocs/web;
expires 600;
break;
}
文件反盗链并设置过期时间
这里的return 412 为自定义的http状态码，默认为403，方便找出正确的盗链的请求
“rewrite ^/ http://leech./leech.gif;”显示一张防盗链图片
“access_log off;”不记录访问日志，减轻压力
“expires 3d”所有文件3天的浏览器缓存
valid_referers none blocked *. *.xxx.net localhost 208.97.167.194;
if ($invalid_referer) {
rewrite ^/ http://leech./leech.gif;
return 412;
break;
}
access_log off;
root /opt/lampp/htdocs/web;
expires 3d;
break;
}
只充许固定ip访问网站，并加上密码
allow 208.97.167.194;
allow 222.33.1.2;
allow 231.152.49.4;
deny all;
auth_basic "C1G_ADMIN";
auth_basic_user_file htpasswd;
将多级目录下的文件转成一个文件，增强seo效果
/job-123-456-789.html 指向/job/123/456/789.html
rewrite ^/job-([0-9]+)-([0-9]+)-([0-9]+)\.html$ /job/$1/$2/jobshow_$3.html last;
将根目录下某个文件夹指向2级目录
如/shanghaijob/ 指向 /area/shanghai/
如果你将last改成permanent，那么浏览器地址栏显是 /location/shanghai/
rewrite ^/([0-9a-z]+)job/(.*)$ /area/$1/$2 last;
上面例子有个问题是访问/shanghai 时将不会匹配
rewrite ^/([0-9a-z]+)job$ /area/$1/ last;
rewrite ^/([0-9a-z]+)job/(.*)$ /area/$1/$2 last;
这样/shanghai 也可以访问了，但页面中的相对链接无法使用，
如./list_1.html真实地址是/area /shanghia/list_1.html会变成/list_1.html,导至无法访问。
那我加上自动跳转也是不行咯
(-d $request_filename)它有个条件是必需为真实目录，而我的rewrite不是的，所以没有效果。
if (-d $request_filename){
rewrite ^/(.*)([^/])$ http://$host/$1$2/ permanent;
}
知道原因后就好办了，让我手动跳转吧
rewrite ^/([0-9a-z]+)job$ /$1job/ permanent;
rewrite ^/([0-9a-z]+)job/(.*)$ /area/$1/$2 last;
文件和目录不存在的时候重定向：
proxy_pass http://127.0.0.1/;
}
域名跳转
{
listen 80;
server_name jump.;
index index.html index.htm index.php;
root /opt/lampp/htdocs/www;
rewrite ^/ http://www./;
access_log off;
}
多域名转向
index index.html index.htm index.php;
root /opt/lampp/htdocs;
if ($host ~ "xxx\.net") {
rewrite ^(.*) http://www.$1/ permanent;
}
三级域名跳转
rewrite ^(.*) http://top.yingjiesheng.com$1/;
break;
}
域名镜向
{
listen 80;
server_name mirror.;
index index.html index.htm index.php;
root /opt/lampp/htdocs/www;
rewrite ^/(.*) http://www./$1 last;
access_log off;
}
某个子目录作镜向
location ^~ /zhaopinhui {
rewrite ^.+ http://zph./ last;
break;
}
discuz ucenter home (uchome) rewrite
rewrite ^/(space|network)-(.+)\.html$ /$1.php?rewrite=$2 last;
rewrite ^/(space|network)\.html$ /$1.php last;
rewrite ^/([0-9]+)$ /space.php?uid=$1 last;
discuz 7 rewrite
rewrite ^(.*)/archiver/((fid|tid)-[\w\-]+\.html)$ $1/archiver/index.php?$2 last;
rewrite ^(.*)/forum-([0-9]+)-([0-9]+)\.html$ $1/forumdisplay.php?fid=$2&page=$3 last;
rewrite ^(.*)/thread-([0-9]+)-([0-9]+)-([0-9]+)\.html$ $1/viewthread.php?tid=$2&extra=page\%3D$4&page=$3 last;
rewrite ^(.*)/profile-(username|uid)-(.+)\.html$ $1/viewpro.php?$2=$3 last;
rewrite ^(.*)/space-(username|uid)-(.+)\.html$ $1/space.php?$2=$3 last;
rewrite ^(.*)/tag-(.+)\.html$ $1/tag.php?name=$2 last;
给discuz某版块单独配置域名
server_name bbs. news.;
location = / {
if ($http_host ~ news\.$) {
rewrite ^.+ http://news./forum-831-1.html last;
break;
}
}
discuz ucenter 头像 rewrite 优化
location ^~ /ucenter {
location ~ .*\.php?$
{
#fastcgi_pass unix:/tmp/php-cgi.sock;
fastcgi_pass 127.0.0.1:9000;
fastcgi_index index.php;
include fcgi.conf;
}
location /ucenter/data/avatar {
log_not_found off;
access_log off;
location ~ /(.*)_big\.jpg$ {
error_page 404 /ucenter/images/noavatar_big.gif;
}
location ~ /(.*)_middle\.jpg$ {
error_page 404 /ucenter/images/noavatar_middle.gif;
}
location ~ /(.*)_small\.jpg$ {
error_page 404 /ucenter/images/noavatar_small.gif;
}
expires 300;
break;
}
}
jspace rewrite
location ~ .*\.php?$
{
#fastcgi_pass unix:/tmp/php-cgi.sock;
fastcgi_pass 127.0.0.1:9000;
fastcgi_index index.php;
include fcgi.conf;
}
location ~* ^/index.php/
{
rewrite ^/index.php/(.*) /index.php?$1 break;
fastcgi_pass 127.0.0.1:9000;
fastcgi_index index.php;
include fcgi.conf;
}
先看一段攻击日志：
123.232.102.228 - - [07/Mar/2012:14:24:23 +0800] “GET /forum-1342-1.html
HTTP/1.0” “200” 235327 “-” “Mozilla/4.0 (compatible; MSIE 6.0; Windows
NT 5.0; .NET CLR 1.1.4322)” “-”
防ddos配置
Nginx被动防御（推荐)
Windows\ NT\ 5.0\;\ .NET\ CLR\ 1.1.4322\)” )
{
return 444;
}
来源地址作为关键字（如下：）
{
return 444;
}
location /photos/ {
valid_referers none blocked www.mydomain.com mydomain.com;
if ($invalid_referer) {
return 403;
}
}
none意为不存在的Referer头。
blocked意为根据防火墙伪装Referer头，如：“Referer: XXXXXXX”。
server_names为一个或多个服务器的列表，0.5.33版本以后可以在名称中使用“*”通配符。