minio 做为比较热门的开源s3 服务，受到好多团队的青睐，使用率还是比较高的，如果我们的服务是部署在内网的还好
一般不用太担忧安全问题（但是也得做好内网的安全防护），但是如果直接将s3 服务暴露到公网问题就比较多了，解决
方法很多，比如使用waf，自己配置一些安全策略，以下是基于nginx limit_except 搞一个minio 快速的安全防护
参考玩法
核心是利用了limit_except 只允许，get，head， 以及options 请求，对于delete 以及put，post 等操作都禁用，好处比较明显
我们只会暴露我们需要提供给用户资源（主要是get），一般就不能利用我们的put 以及delete 操作了 
参考玩法
- docker-compose 文件
version: '3'
services:
minio:
image: minio/minio
ports:
- "9000:9000"
- "19001:19001"
environment:
MINIO_ROOT_USER: minio
MINIO_ROOT_PASSWORD: minio123
command: server --console-address :19001 --quiet /data
nginx:
image: openresty/openresty:alpine-fat
volumes:
- ./nginx.conf:/usr/local/openresty/nginx/conf/nginx.conf
ports:
- 80:80
- nginx.conf
worker_processes 1;
events {
worker_connections 1024;
}
http {
include mime.types;
default_type application/octet-stream;
sendfile on;
keepalive_timeout 65;
gzip on;
real_ip_header X-Forwarded-For;
resolver 127.0.0.11;
real_ip_recursive on;
server {
listen 80;
server_name localhost;
charset utf-8;
# 基于nginx 暴露最小的请求路径，同时限制只能使用get head 以及options 请求
location /apps/ {
limit_except GET HEAD OPTIONS{
deny all;
}
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
proxy_set_header Host $http_host;
proxy_connect_timeout 300;
# Default is HTTP/1, keepalive is only enabled in HTTP/1.1
proxy_http_version 1.1;
proxy_set_header Connection "";
chunked_transfer_encoding off;
proxy_pass http://minio:9000;
}
error_page 500 502 503 504 /50x.html;
location = /50x.html {
root html;
}
}
}
说明
以上是一个简单的玩法，实际上我们基于nginx （openresty） 可以做不少关于minio 的安全防护，减少minio 因为安全问题，造成的数据泄漏以及被人利用
参考资料
https://nginx.org/en/docs/http/ngx_http_core_module.html#satisfy
https://github.com/rongfengliang/using_limit_except_protect_minio