用错域名也能进网关管理页，怎样用默认server拒绝未匹配Host

Host没有匹配server_name时，请求会落到该监听地址端口的默认server。给未知Host设独立拒绝入口，并验证正确域名仍能进入假上游，可避免拼错域名或IP访问意外显示管理页。

先分监听地址端口与Host匹配

server_name写了正确域名，只定义匹配条件，不会自动拒绝其他Host。若第一个server恰好是管理页面，它可能成为默认接收者。default_server属于listen地址端口，因此有多个监听或IPv6时需要逐个核对，不能认为一处写下就覆盖全部入口。

复现首个server成为默认

本地配置设置默认拒绝403，另一个server仅接gateway.example.test。三个请求分别带正确Host、拼错Host和IP Host；只有第一条返回200且假业务计数增加，另两条403且不派发。测试只用回环HTTP与保留示例域名，不依赖真实DNS或证书。

未知Host的拒绝响应应当简单且不暴露管理页面内容。多个监听端口或IPv4、IPv6并存时，可以将矩阵按地址端口展开，逐个记录默认server。配置中的下划线只是一个惯用无匹配名字，真正决定兜底归属的是listen上的default_server，不是某个特殊server_name字符串。

说明Host筛选不代替认证且TLS还需SNI核对

Host过滤不是身份认证，客户端可以自行构造正确Host。管理界面仍需要合适的网络边界和登录保护；HTTPS还涉及SNI与证书选择，不能由本例HTTP矩阵推断。部署后应检查实际使用的地址、端口与代理是否改写Host，防止默认拒绝误伤合法请求。

适用范围：只测试回环HTTP，不使用真实域名或证书；默认拒绝规则不是对客户端身份的认证。

配套样本与复核入口

• run.py：独立运行程序，包含合成输入、操作和正反例断言。
• case.json：输入说明、预期任务与适用范围，便于保存和交接。
• observed.json：本次实际执行输出；临时路径、进程号和计时可能随运行变化。

执行时不需要改本机hosts，每条HTTP请求直接连回环地址并显式带Host。rows应呈现200、403、403，只有正确域名的business_dispatched为1。测试中的示例域名不代表可从公网访问；读者应将同样矩阵扩展到实际监听地址、端口与外层代理，检查未知Host在每一层最终落到哪里。

Linux、Python3.8以上与Nginx1.28.0，设置NGINX_BIN为可执行文件绝对路径；鉴权题还需编译启用http_auth_request_module。程序显式指定新建prefix、配置、pid和日志，所有监听均为回环高端口，绝不向已有master发送控制命令。

python3 -B run.py

阅读输出时，先按case.json中的任务逐项核对Nginx网关默认server未知Host，再与observed.json比较。非零退出表示依赖或断言需要处理，应保留实际错误。

一手依据1（Host无匹配时落到监听地址端口的默认server，default_server属于监听配置而非server_name。）。

继续阅读：网关前置鉴权服务挂了会不会放行，怎样验证auth_request状态矩阵；API路径被静态资源正则接走了，怎样核对Nginx的location选择顺序；自建网关安全加固：API 网关别裸奔在公网上。