Node.js Nginx安全服务静态文件

im构建了一个平均堆栈应用程序，我刚刚发现让Nginx服务于静态文件（目前我的节点正在服务于静态文件）并使用反向代理是一种最佳实践。所以我能够在Nginx上提供一个静态文件和反向代理，我的问题是，有没有办法确保对静态文件的访问

这是我的Nginx代码

server {
    listen 80;


    location /static {
    alias /var/www/project/public;
    autoindex off;
} 

    location / {
        proxy_pass http://127.0.0.1:3000;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection 'upgrade';
        proxy_set_header Host $host;
        proxy_cache_bypass $http_upgrade;
    }
}

在公用文件夹下，我有style.css 因此，当我转到url

localhost/static/style.css

时，我可以看到我的代码，所以我想象，假设我将我的网站部署到公众，并拥有它的域名，用户只需转到

www.domainname.com/static/style.css

即可访问我的静态文件 这正常吗？还是有办法限制对NodeJS服务器的访问？是唯一可以访问静态文件的东西吗？或者我弄错了

---

谢谢！抱歉，我是这个web开发领域的新手，但我正在学习。

您可以通过在位置定义中添加以下内容来限制使用nginx的访问：

#This would be the IP of the server you want to have access to your protected file
allow 123.123.123.123/32;
deny all;

---

但在这种情况下，您不希望限制对静态文件的访问。加载网页的用户需要访问css文件才能正确显示网页。如果您要在加载网页时查看的网络流量，您会看到浏览器下载了正常运行所需的所有客户端CSS、JS和HTML文件。因此，人们能够只查看静态承载的CSS文件是完全正常的。通常后端NodeJS服务器不使用CSS文件

谢谢，先生！我担心的是，由于我在构建angularjs应用程序，我还需要静态地为我的控制器、服务、指令和我的主app.js（其中定义了我的.config和模块）提供服务。我担心用户是否会检查这些文件。你在客户端javascript中输入的任何内容都将被使用你的网站的用户查看。尽管有一些工具可以“构建”javascript，这些工具会混淆javascript并将其全部放入一个JS文件中，因此不容易看到JS文件中正在执行的操作，但这仍然不能保证应用程序中可能使用的密钥/凭据的安全性。任何敏感信息（如凭据）都应仅在客户端不可用的服务器端代码中使用。感谢提供此有用信息！