实现一次性下载的关键是Nginx用internal指令封锁资源入口，仅允许后端通过X-Accel-Redirect内部跳转访问；真实鉴权、计数与标记由后端完成，确保链接泄露后无法重复使用。
要实现“一次性访问”的下载链接，关键不在 Nginx 单独完成鉴权或计数，而在于它用 internal 指令守住资源入口，把真正的业务逻辑（如校验、限次、标记已使用）交给后端处理，Nginx 只负责高效、安全地透传文件。
为什么 internal 是一次性下载的前提
internal 指令不是可选项，而是安全底线。它确保：用户即使知道真实路径（比如 /_oneuse/report.pdf），直接访问也会返回 404；只有后端主动发起的内部跳转（通过 X-Accel-Redirect 或 rewrite last）才能命中该 location。没有它，“一次性”就毫无意义——链接一旦泄露，谁都能反复下载。
后端配合：生成带唯一标识的临时路径
后端在生成下载链接时，不暴露真实文件名，而是构造一个带唯一 token 的路径，例如：
-
/download?token=7f3a9b2e-1d5c-488f-a0e1-88b7c3d2f5a6（公开入口） - 鉴权通过后，后端响应头中设置：
X-Accel-Redirect: /_oneuse/7f3a9b2e-1d5c-488f-a0e1-88b7c3d2f5a6.pdf
这个 token 在数据库中标记为“未使用”，Nginx 收到该头后，仅内部跳转至对应 location，不关心内容是否重复——真正的一次性判断由后端在响应前完成（查库 → 标记为已用 → 返回头）。
Nginx 配置要点：精简且防绕过
以下是最小可行配置片段，不含多余模块依赖：
- 对外入口
location ^~ /download：只做转发，不读文件，也不写 rewrite 规则 - 鉴权子请求
location = /auth：必须加internal，防止被直接调用 - 资源透传区
location ^~ /_oneuse/：明确声明internal; alias /data/oneuse/;，末尾斜杠与 alias 严格匹配 - 禁止任何 proxy_pass 到外部服务：internal location 应直接读磁盘或转发给可信内网静态服务，避免中间跳转绕过限制
增强“一次性”效果的实用补充
纯 Nginx 无法自动清理已用 token，但可通过简单手段提升实用性：
- 后端在标记 token 为“已用”时，同步删除对应磁盘文件（或移动到归档目录），让 Nginx 下次跳转时自然 404
- 搭配
secure_link模块，把 token 和过期时间一起签名，防止客户端篡改时间参数 - 用
limit_req限制同一 token 的请求频率（如 1r/s），防重放攻击 - 日志中记录
$http_x_accel_redirect和$upstream_http_x_accel_redirect，便于审计下载行为
