internal指令创建Nginx内部禁区，仅响应X-Accel-Redirect等内部跳转，拒绝外部直连并返回404；后端鉴权通过后设X-Accel-Redirect头触发Nginx直接读取磁盘文件流式响应。
核心思路很直接：后端负责鉴权和逻辑判断，Nginx 负责高效传输。internal 指令把文件路径设为“内部禁区”，浏览器无法直连；而 X-Accel-Redirect 是后端发给 Nginx 的“内部通行证”，触发 Nginx 直接读取磁盘并响应，不经过后端进程流式转发。
配置 Nginx 的 internal 保护路径
在 server 或 location 块中定义一个仅限内部跳转的路径，指向真实文件存放位置：
- 用 internal 关键字明确禁止外部直接访问，哪怕 URL 猜对也返回 404
- alias 必须写完整物理路径（结尾不带斜杠），或配合 root 使用，注意路径拼接规则
- 示例配置：location /dl-internal { internal; alias /data/files; }
后端代码中正确设置响应头
权限校验通过后，不读文件、不输出内容，只设置几个关键响应头：
- X-Accel-Redirect：值必须匹配 Nginx 中定义的 internal 路径前缀，如 /dl-internal/report.pdf
- Content-Disposition：控制是否下载（attachment）或内嵌（inline），并指定用户看到的文件名
- Content-Type：建议显式设置，避免 Nginx 默认类型干扰（如 PDF 设为 application/pdf）
- 可选增强：X-Accel-Limit-Rate（字节/秒）、X-Accel-Expires（缓存秒数）
确保请求链路走通
整个流程依赖代理关系，不能绕过 Nginx：
- 客户端请求的是后端接口地址（如 /api/download?id=123），不是文件路径
- Nginx 需将该接口反向代理到后端服务（如 Tomcat、Spring Boot、PHP-FPM）
- 后端返回含 X-Accel-Redirect 的响应后，Nginx 自动拦截并接管，从磁盘读取对应文件发给客户端
- 若直接访问后端（如 localhost:8080），Nginx 不参与，X-Accel-Redirect 失效
常见问题排查要点
下载失败或返回空文件，优先检查这几点：
- Nginx 日志里是否有 * * * * * is not inside root 类错误？说明 alias/root 路径与 X-Accel-Redirect 值不匹配
- 浏览器开发者工具 Network 标签中，响应头是否包含 X-Accel-Redirect？没有说明后端未正确设置
- 用 curl -I 访问后端接口，确认 header 是否完整，特别是 Content-Type 和 X-Accel-Redirect 的拼写和值
- 确认 internal 路径下文件真实存在、Nginx 进程有读取权限、SELinux/AppArmor 未拦截
