internal指令是Nginx私有静态资源分发链路中不可替代的“守门人”，仅允许内部跳转访问、拒绝所有客户端直连，必须配合auth_request、rewrite last、X-Accel-Redirect等机制生效，单独使用必返回404。

要构建私有静态资源分发通道，防止用户绕过鉴权直接下载，internal 指令不是独立方案，而是整个链路中不可替代的“守门人”——它不负责判断谁有权限，只确保受保护资源路径无法被浏览器或 curl 直连。真正起作用的是“鉴权 → 内部跳转 → internal location 透传”三步闭环。

明确 internal 的定位和生效前提

internal 指令本身不做任何校验，它只做一件事：拒绝所有来自客户端的原始请求（无论带不带 token、Referer 或 Cookie），返回 404；仅允许 Nginx 自身发起的内部跳转命中该 location。常见有效触发方式包括：
• auth_request 子请求成功后的主请求流转
• rewrite ... last 重写后的内部匹配
• error_page 或 try_files 触发的内部重定向
• 后端通过 X-Accel-Redirect 响应头指定的路径跳转
若配置了 internal 却没配合上述任一机制，访问必然 404 —— 这不是故障，是设计使然。

典型安全分发结构（推荐 auth_request + internal）

对外暴露一个普通入口（如 /download/xxx.pdf），由它承载鉴权逻辑；真实文件路径藏在 internal location 中，完全不可见：

• 定义鉴权子服务：location = /auth { internal; proxy_pass http://auth-svc; proxy_pass_request_body off; }
• 用户入口 location ^~ /download/ { auth_request /auth; rewrite ^/download/(.*)$ /_serve/$1 break; }
• 资源透传 location ^~ /_serve/ { internal; alias /data/assets/; add_header Content-Disposition "attachment; filename=$1"; }

注意 rewrite 使用 break 而非 last，避免二次匹配外层 location；alias 末尾斜杠必须与 location 一致（/ _serve/ → alias /data/assets/;），否则路径拼接出错。

后端配合要点（X-Accel-Redirect 方式）

当后端动态决定文件路径时（如按用户权限返回不同版本），X-Accel-Redirect 更灵活：

• 后端响应中设置：X-Accel-Redirect: /dl/report_v2.pdf；Content-Type: application/pdf；Content-Disposition: attachment; filename="report.pdf"
• Nginx 配置对应 location ^~ /dl/ { internal; alias /data/reports/; }
• 关键：X-Accel-Redirect 的值必须精确匹配 internal location 的前缀，不能含协议、域名或相对路径
• 后端必须终止响应体输出（如 PHP exit、FastAPI return Response()），否则会破坏 Nginx 的流式传输

加固建议（生产环境必备）

仅靠 internal 不足以应对恶意扫描或刷链接行为，需叠加防护：

• 对 /auth 接口启用 limit_req，限制单 IP 鉴权频次，防爆破
• 用 real_ip 模块解析 X-Forwarded-For，确保限流和日志基于真实客户端 IP
• 下载链接加入时间戳+HMAC 签名（如 /download/abc.pdf?sig=xxx&ts=1715223600），由后端或 Lua 校验，防止 token 复用
• 敏感资源目录禁止执行脚本（如 location ~ \.php$ { deny all; }），避免 alias 路径被利用进行目录穿越

不复杂但容易忽略