Nginx 的 root 必须指向 Laravel 项目 public/ 目录，而非项目根目录，否则会暴露 app/、vendor/ 等敏感路径；需配合 try_files、正确的 fastcgi_param（含 $realpath_root 和 PATH_INFO）、动态 HTTPS 重定向等配置确保路由、静态资源和权限正常。
location / 要指向 public/ 目录，不是项目根目录
很多人把 root 设成 Laravel 项目根目录（比如 /var/www/myapp），结果访问时直接暴露 app/、vendor/ 等敏感目录，甚至触发 Index of / 列表。Laravel 的入口只有 public/index.php，Nginx 必须从这里开始接管请求。
正确做法是把 root 指向 public/ 子目录：
server {
listen 80;
server_name example.com;
root /var/www/myapp/public; # ← 关键：必须是 public/
index index.php;
<pre class="brush:php;toolbar:false;">location / {
try_files $uri $uri/ /index.php?$query_string;
}
location ~ \.php$ {
fastcgi_pass unix:/var/run/php/php8.2-fpm.sock;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME $realpath_root$fastcgi_script_name;
include fastcgi_params;
}}
-
$realpath_root比$document_root更可靠，能避免符号链接导致的路径解析错误 - 别漏掉
try_files—— 没它，静态资源（如/css/app.css）会 404 - 如果用的是 Docker 或非标准 PHP-FPM socket 路径，
fastcgi_pass必须对应上，常见错配：写成127.0.0.1:9000却没开 TCP 监听
rewrite 规则不能少，否则 Laravel 路由 404
Nginx 默认不解析 Laravel 的路由，所有非静态资源请求都得转发给 index.php，靠它来分发。只靠 location / + try_files 不够，某些 URL（比如带点号或斜杠嵌套的）可能被提前截断。
稳妥写法是显式重写所有非静态文件请求：
location / {
try_files $uri $uri/ @laravel;
}
<p>location @laravel {
rewrite ^(.*)$ /index.php?$query_string last;
}</p>
- 不用
return 301或proxy_pass—— 这是 PHP-FPM 场景，不是反代 - 如果项目用了多语言路由（如
/zh/about），确保$query_string被完整传递，否则app()->getLocale()可能失效 - 部分人误加
location ~ /\.ht类规则，Nginx 根本不读 .htaccess，这类配置纯属冗余
PHP-FPM 权限和 PATH_INFO 配置不到位，502/500 随机出现
502 Bad Gateway 多半是 PHP-FPM 进程没响应，但更隐蔽的问题是 500 错误里看不到日志——因为 SCRIPT_FILENAME 解析错了，或者 PATH_INFO 为空导致 Laravel 认不出当前路由。
关键两行必须存在且顺序正确：
fastcgi_param SCRIPT_FILENAME $realpath_root$fastcgi_script_name; fastcgi_param PATH_INFO $fastcgi_path_info;
- 缺
PATH_INFO：Laravel 的Request::path()返回空，所有路由匹配失败 - 用
$document_root替代$realpath_root：在启用 symlink 的部署（如 Laravel Envoyer、Capistrano）中，$document_root可能指向软链本身，而非真实路径，导致file_exists()检查失败 - PHP-FPM pool 用户（如
www-data）必须对storage/和bootstrap/cache/有写权限，否则php artisan config:cache后直接报错
HTTPS 和 www 重定向容易写死，后续难调试
上线后加 HTTPS 或强制 www，很多人直接在 server 块里硬编码 return 301 https://...，结果本地开发时也跳转，或者 CDN 回源失败。
更安全的做法是依赖 $scheme 和 $host 动态判断：
if ($scheme != "https") {
return 301 https://$host$request_uri;
}
- 别用
rewrite ^(.*)$ https://...——rewrite是字符串替换，$request_uri包含 query string，rewrite默认不携带，容易丢参数 - 如果用了 Cloudflare 或阿里云 SLB，它们可能用 HTTP 回源，此时要检查
$_SERVER['HTTP_X_FORWARDED_PROTO']，并在 Laravel 的AppServiceProvider中调用URL::forceScheme('https') - 重定向规则一定要放在主 server 块最前面，否则可能被 location 块拦截，变成 404 而非跳转
Laravel 的 Nginx 配置难点不在语法，而在路径解析、权限边界和环境差异。哪怕一行 $realpath_root 写错，或者少一个分号，都可能让日志里只显示 “recv() failed”，却找不到源头。
