Nginx生产环境权限配置必须确保worker进程非root运行、文件目录权限最小化、禁用信息泄露、适配SELinux/容器限制；共20项需逐项验证，缺一不可。
生产环境 Nginx 的权限配置一旦出错，轻则 403 报错、服务启动失败，重则泄露敏感文件、被提权或沦为跳板。真正影响线上稳定和安全的，往往不是复杂功能，而是几个基础权限项没对齐。下面这 20 个点，按实际运维高频问题归类整理，不堆概念，只列必须验证的动作。
用户与进程权限
Nginx worker 进程不该以 root 身份运行，这是最基础也是最容易被忽略的一环。
- 确认
nginx.conf中user指令已显式设置（如user nginx;或user www-data;），而非注释或留空 - 执行
ps aux | grep nginx，检查 worker 进程 USER 列是否为非 root 用户 - 确保该用户对配置文件（
/etc/nginx/nginx.conf）、日志路径（/var/log/nginx/）、网站根目录有最小必要读/写权限，无执行权限需求 - 禁止将
user root;写入配置——哪怕临时调试也不推荐
文件与目录访问控制
403 错误多数源于 Nginx 用户无法读取目标资源，但根源常在权限链断裂。
- 检查网站根目录（如
/home/dist/）所有者是否为 Nginx 运行用户，命令：ls -ld /home/dist/ - 目录需至少具备
r-x（即 755 或 750），文件需至少r--（644 或 640），避免使用 777 - 确认
index.html或index.php存在于根目录下；若不存在且未配autoindex on，默认返回 403 - 禁止通过 URL 访问隐藏文件：在 server 或 location 块中添加
location ~ /\. { deny all; } - 禁止访问敏感后缀：补充规则
location ~ \.(conf|ini|log|sh|git|env)$ { deny all; }
响应头与信息泄露防护
暴露版本、服务器类型、后端框架等，等于给攻击者递地图。
- 全局关闭版本号：
server_tokens off;放在 http 块内 - 清除默认 Server 头：需加载
ngx_headers_more模块后，加more_clear_headers "Server"; - 禁用目录自动索引：
autoindex off;显式声明，防止意外列出文件结构 - 添加基础安全响应头（每 location 块或 server 块中）：
add_header X-Content-Type-Options "nosniff" always;add_header X-Frame-Options "DENY" always;add_header X-XSS-Protection "1; mode=block" always;
SELinux 与容器特殊限制
在 CentOS/RHEL 系统或 Docker 容器中，权限问题常被 SELinux 或容器沙箱机制拦截。
- 执行
sestatus查看 SELinux 状态；若为enforcing，需额外放行策略，而非直接设为disabled（除非明确接受风险） - Docker 部署时，确保挂载的宿主机目录（如
/var/log/nginx、/usr/share/nginx/html）已用chcon -Rt container_file_t标记上下文 - 容器内非 root 启动：在 Dockerfile 中指定
USER nginx，并确保该用户对所需路径有读权限（如RUN chown -R nginx:nginx /usr/share/nginx/html） - 检查容器是否启用
seccomp或apparmor限制了 open/read 等系统调用
