Nginx安全配置核心是创建最小权限专用用户并闭环权限链：执行useradd -r -s /sbin/nologin -M nginx，配置user nginx nginx;于main块，确保网站根目录755（root:nginx）、日志目录750（root:nginx）、私钥600（root:root），并叠加systemd防护与危险模块禁用。
直接在 nginx.conf 全局块顶部写 user nginx nginx; 并不等于安全——关键在于这个用户是否真正“最小化”，以及整个权限链条是否闭环。核心是让 worker 进程只拥有读静态文件、写日志、访问临时目录这三类必要能力，其余一概不给。
创建专用运行用户，禁用登录与交互能力
不要复用 nobody 或 www-data（尤其在多服务共存环境），应为 Nginx 创建隔离账户：
- 执行
useradd -r -s /sbin/nologin -M nginx：-r 表示系统用户，-s /sbin/nologin 禁止 shell 登录，-M 不创建家目录 - 验证结果：
id nginx应显示 uid/gid 存在，且无 home 目录、无登录 shell - 确保该用户不在
sudo、adm、docker等高权限组中，可用groups nginx检查
显式配置 user 指令并确认生效范围
user 指令必须位于 nginx.conf 的 main 上下文（即最外层，其他任何块内无效）：
- 正确写法：
user nginx nginx;（组名可省略，默认同用户名；但显式写出更清晰） - 错误写法：
user nginx;（旧版本兼容，但组未明确定义，易引发权限歧义） - 启动后验证：
ps aux | grep 'nginx: worker'，确认 UID 列为 nginx 对应的数字 ID，不是 root 或 65534
权限匹配：让 nginx 用户刚好能读、不能改、不可逃
用户设对了，目录权限没跟上，照样白搭。需按用途分层控制：
-
网站根目录（如
/var/www/html）：属主root:nginx，权限755（目录可进入+读，文件可读） -
上传或可写目录（如
/var/www/uploads）：属主nginx:nginx，权限750，且需在 location 中禁用脚本执行：location ~ \.(php|sh|pl)$ { deny all; } -
日志目录（如
/var/log/nginx）：属主root:nginx，权限750；Nginx 启动时自动以 nginx 身份追加写入，无需给 nginx 写目录权限 -
SSL 私钥（如
/etc/ssl/private/example.key）：属主root:root，权限600；主进程读取后内存持有，worker 不需直接访问
配合系统级防护，堵住降权后的提权路径
仅靠 user 指令不够，需叠加运行时约束：
- 若用 systemd 托管，在
/etc/systemd/system/nginx.service.d/override.conf中添加：NoNewPrivileges=yes（禁止 fork 后提权）、ProtectSystem=strict（挂载只读系统路径）、RestrictAddressFamilies=AF_UNIX AF_INET AF_INET6（禁用非常用协议族） - 禁用危险模块：编译时加
--without-http_autoindex_module --without-http_ssi_module，避免目录遍历或服务端注入 - 关闭版本泄露：
server_tokens off;放在 http 或 server 块中，防止攻击者精准利用已知漏洞
