Linux怎么安装Nginx_Linux如何搭建Web服务器【方法】-LINUX-PHP中文网

推荐直接用包管理器安装nginx（如apt/yum），避免源码编译；配置修改后须先nginx -t验证再systemctl reload nginx；https需配全证书链、tls版本、cipher及ocsp stapling。

linux怎么安装nginx_linux如何搭建web服务器【方法】

绝大多数场景下，apt install nginx（Ubuntu/Debian）或 yum install nginx（CentOS/RHEL）就足够了。自己从源码编译不仅慢，还容易漏掉 systemd 服务配置、日志轮转、安全加固等默认集成项。

常见错误现象：nginx: command not found 装完却找不到命令——其实是没启用服务或 PATH 没刷新，不是没装上；Failed to start nginx.service 多因端口被占用或配置语法错，先跑 nginx -t 再启动。

apt update && apt install nginx 后，服务默认已启用，但不会自动启动，需手动 systemctl start nginx
配置文件在 /etc/nginx/nginx.conf，站点配置通常放 /etc/nginx/sites-enabled/，记得软链到 sites-available/
Ubuntu 22.04+ 默认监听 80 和 443，但防火墙可能拦着：用 ufw allow 'Nginx Full' 或检查 iptables 规则

systemctl restart nginx 会中断正在处理的请求，而 systemctl reload nginx 是平滑重载——新 worker 进程启动后，旧进程处理完手头请求再退出。线上服务尤其不能跳过这步。

容易踩的坑：reload 失败时，错误信息藏在 systemctl status nginx 或 journalctl -u nginx --since "1 hour ago" 里，不是只看终端返回的 “failed” 就完事。

每次改完 /etc/nginx/nginx.conf 或子配置，必先 nginx -t 验证语法，再 systemctl reload nginx
如果 reload 报 bind() to 0.0.0.0:80 failed (98: Address already in use)，说明端口被其他进程占了，查 ss -tulpn | grep ':80'
修改了 worker_processes 或 worker_connections 这类主配置项，必须 restart，reload 不生效

不是权限设低了，就是 root 路径配错了。Nginx 默认以 www-data（Debian）或 nginx（RHEL）用户运行，它得有目录的执行权限（x），才能进入子目录；还得有文件的读权限（r），才能发出去。

典型现象：浏览器显示 403 Forbidden，但 curl -I http://localhost 返回 200 —— 很可能是 SELinux（RHEL/CentOS）或 AppArmor（Ubuntu）在拦截，不是文件权限问题。

确认 root 指令指向的路径存在且可被 Nginx 用户访问：sudo -u www-data ls -l /var/www/html/
目录需有 rx 权限（如 755），文件需有 r 权限（如 644）；chown -R www-data:www-data /var/www/html 比盲目 chmod 777 安全得多
RHEL 系统上，setsebool -P httpd_read_user_content 1 可放开对用户家目录的访问限制；Ubuntu 上检查 aa-status 是否启用 AppArmor 并限制了 /usr/sbin/nginx

光扔个 ssl_certificate 和 ssl_certificate_key，浏览器大概率报“不安全连接”——缺中间证书（chain）、没开 HSTS、没禁用老旧协议。现代浏览器要求完整证书链 + TLS 1.2+ + 安全 cipher。

最容易被忽略的是证书链顺序：必须把域名证书放在最前，中间 CA 证书跟在后面，根证书不用放。顺序反了，iOS 和部分安卓设备会校验失败。

合并证书链：cat example.com.crt intermediate.crt > fullchain.pem，然后在配置中用 ssl_certificate fullchain.pem
必须配 ssl_trusted_certificate（用于 OCSP stapling）和 ssl_stapling on，否则 OCSP 查询失败会导致延迟或降级
禁用不安全协议：ssl_protocols TLSv1.2 TLSv1.3；推荐 cipher：ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256

证书更新后，reload 前务必用 openssl s_client -connect yoursite.com:443 -servername yoursite.com -showcerts 看实际返回的证书链是否完整——这才是真实客户端看到的样子。