彻底关闭Nginx autoindex需显式配置autoindex off于各location块（如/uploads/、/static/等），逐级排查http/server/location中隐含的autoindex on，配合deny all或return 404强化敏感路径控制，并通过curl验证响应头及返回体无目录列表内容。
要彻底关闭 Nginx 的 autoindex 功能，防止目录结构被外部遍历和泄露，核心不是“加一层防护”，而是从配置源头切断所有可能触发目录列表的路径，并验证其生效。默认虽为关闭，但显式禁用 + 多层覆盖 + 补充拦截，才是生产环境真正可靠的策略。
明确在关键 location 中显式关闭 autoindex
即使全局未开启，也必须在每个涉及静态资源或用户可访问路径的 location 块中写明：autoindex off;
尤其注意匹配 /uploads/、/static/、/files/、/images/ 等常见路径的块。不要依赖“默认关闭”——Nginx 配置存在继承关系，父块若误配 on，子块不声明就会生效。
检查并清理可能意外启用的配置位置
逐级排查以下三处是否隐含 autoindex on：
- http 块顶层：全局开启会影响所有 server，极少见但危害最大
-
server 块内：如
location / { autoindex on; }，会作用于整个站点根路径 -
alias 或 root 指向的真实目录 location：例如
location /data { alias /var/data; autoindex on; }，这是最常被忽略的高危点
发现即删除或改为 off，改完务必执行 nginx -t 测试语法。
配合 deny all 或 return 404 强化敏感路径控制
仅关 autoindex 不够——访问空目录默认返回 403，但攻击者仍能确认路径存在。对明确不该对外开放的目录，应主动拒绝：
- 禁止访问配置类目录：
location ^~ /config/ { deny all; } - 屏蔽上传目录浏览：
location ^~ /uploads/ { autoindex off; return 404; } - 拦截隐藏文件：
location ~ /\. { deny all; }（防 .git、.env 等）
注意 ^~ 前缀确保前缀匹配优先，避免正则误伤。
验证是否真正生效
配置重载后，用真实请求测试，别只看浏览器页面：
- 执行
curl -I http://your-domain.com/uploads/，响应头应为403或404，且无Content-Type: text/html和目录 HTML 内容 - 检查返回体是否为空或仅含错误页，而非包含
Index of /uploads/
- 尝试访问
/etc/、/var/log/等系统路径（若 root/alias 有误配），确认同样返回拒绝而非列表
没验证的配置等于没改。
