在 Nginx 中启用 autoindex 需配置 autoindex on 及相关优化指令，使用 alias 精确映射路径、隐藏隐藏文件、限制内网 IP 访问，并注意权限控制与敏感目录防护以保障安全。
要在 Nginx 上启用 autoindex 功能，快速搭建一个简洁、高效的内网文件浏览与下载服务，核心是正确配置目录索引和权限控制，同时兼顾安全性与性能。
开启 autoindex 的基础配置
在对应 server 或 location 块中添加以下指令即可启用目录列表：
- autoindex on; —— 必须开启，否则不显示文件列表
- autoindex_exact_size off; —— 显示人类可读的文件大小（如 1.2M 而非 1234567 字节）
- autoindex_localtime on; —— 使用服务器本地时间显示修改时间，更直观
- autoindex_format html; —— 输出 HTML 格式（默认值，也可设为 json 或 xml）
示例配置片段：
location /files/ {
alias /data/shared/;
autoindex on;
autoindex_exact_size off;
autoindex_localtime on;
}
限制访问范围，防止越权浏览
autoindex 默认会递归列出所有子目录，若未加约束，可能暴露敏感路径。建议明确指定根目录，并禁用上级目录跳转：
- 使用 alias（而非 root）精确映射 URL 到物理路径，避免路径拼接风险
- 添加 autoindex_ignore ".*"; 隐藏以点开头的隐藏文件（如 .git、.env）
- 配合 location ^~ /files/ 这类前缀匹配，避免正则干扰执行顺序
- 必要时用 deny all; + allow 192.168.0.0/16; 限定仅内网 IP 访问
提升可用性与用户体验
原生 autoindex 页面较简陋，可通过少量配置优化实用性：
- 添加 add_header Content-Disposition "inline"; 让浏览器优先在线预览文本/图片等支持类型
- 对大文件下载，确保 sendfile on; 和 tcp_nopush on; 已启用，提升传输效率
- 如需支持中文文件名，确认文件系统编码为 UTF-8，且 Nginx 编译时启用了 --with-file-aio 和 --with-http_realip_module（非必需但推荐）
- 搭配 index index.html; 可在目录下放自定义首页，覆盖 autoindex（按需选择）
安全提醒：别忽略这几点
autoindex 是便利功能，但也容易成为入口风险点：
- 切勿在公网或未认证的环境中直接开放，尤其避免暴露日志、备份、配置类目录
- 确保 /data/shared/ 目录权限严格（如 nginx worker 用户仅读取，无执行权限）
- 定期检查该目录下是否意外混入敏感文件（如 .htpasswd、.env、数据库 dump）
- 如需用户级隔离，应结合 auth_basic 或 JWT 等方式做身份验证，不能仅靠 IP 限制
