关闭 nginx autoindex 功能需在宝塔网站配置文件中 location / 块删除或设为 autoindex off;，并确保 index 指令包含有效首页文件，最后重载配置生效。
如何关闭 Nginx 的 autoindex 功能（禁止目录列表）
宝塔面板默认不会开启目录浏览，但一旦你手动改过 Nginx 配置、或上传了空 index.php / index.html，又没配默认首页，Nginx 就可能回退到显示目录结构——这属于配置遗漏，不是权限问题。
真正起作用的是 autoindex 指令，它控制是否列出目录下文件。只要没显式写 autoindex on;，且站点有合法的 index 文件，就不会暴露目录。
- 进宝塔【网站】→ 点击你的域名 → 【配置文件】，找到
location / { ... }块 - 确认里面没有
autoindex on;；如有，删掉或改成autoindex off; - 检查
index行是否包含你实际使用的入口文件，例如：index index.php index.html index.htm; - 保存后点【重载配置】，不要只点【保存】——否则不生效
为什么改了 Nginx 配置权限也没用？
修改 /www/server/panel/vhost/nginx/ 下的站点配置文件权限（比如设成 644），对「是否显示目录列表」完全无效。Nginx 进程以 www 用户身份读取这些配置，只要可读就行；它不靠文件权限来判断要不要列目录。
常见误操作是：看到目录能被列出，就去 chmod 配置文件，结果白忙活，问题还在。
-
/www/server/panel/vhost/nginx/xxx.conf权限建议保持 644，属主为root:root（宝塔默认） - 如果强行改成 400 或 600，会导致宝塔无法读写该文件，后续修改配置会失败
- 真正要防的是 Web 访问层行为，不是配置文件“被别人看”，那是另一类安全问题
当目录真被列出来时，优先排查这三处
不是所有“能看到文件列表”都源于 Nginx 配置错误。更常见的原因是程序逻辑或部署疏漏。
- 根目录下缺少
index.php或其他匹配index指令的文件（注意大小写、扩展名是否拼错） - PHP 没启用或出错，导致
index.php被当成静态文件返回源码——这时浏览器可能直接渲染出 PHP 内容，看起来像“列表” - 伪静态规则写错，把所有请求都 fallback 到某个脚本外路径，意外触发了 Nginx 默认行为
可以临时在浏览器访问一个明确不存在的子路径，比如 https://yoursite.com/xyz123/，如果返回 403/404，说明 autoindex 没开；如果真列出一堆文件，再回头查配置。
顺手加固：防止 .conf / .env 等敏感文件被直接下载
虽然和目录列表无关，但很多人混淆这两件事：禁止目录列表 ≠ 阻止用户直接请求配置文件。Nginx 默认允许 GET 任意文件，除非你明确拦截。
在站点配置的 server 块里加这几行，能堵住常见泄露路径：
location ~ \.(conf|env|log|bak|swp|git|svn) {
deny all;
}
- 这个规则必须放在
location /之后、location ~ \.php$之前，否则可能被覆盖 - 别漏掉
.htaccess（Apache 遗留，但有些 CMS 仍生成）和.user.ini（PHP 特有） - 加完务必测试：用浏览器访问
https://yoursite.com/.env，应返回 403
配置文件权限、autoindex 开关、敏感路径拦截——这三者各管一摊，混着调只会越调越乱。
