Nginx本身不提供开箱即用的路径穿越自动拦截机制，其防御依赖root/alias指令的语义约束、internal逻辑隔离、禁用autoindex与隐藏文件、以及人工配置规范化规则（如正则匹配../）来从源头规避穿越风险。
Nginx 本身**不提供开箱即用的路径穿越自动拦截机制**，它不会主动解析并阻止 `../` 类路径。所谓“内置防御”，其实是通过**配置指令的语义约束与行为限制**，从设计源头规避穿越可能。真正起作用的是你如何使用 `root`、`alias`、`internal` 等指令，而非 Nginx 主动扫描或过滤请求路径。
root 和 alias 的行为差异是关键防线
这是最常被忽视却最根本的一环：
– root 指令会拼接 URI 路径：`location /files { root /var/www; }` 遇到 `/files/../../etc/passwd`，实际查找 `/var/www/files/../../etc/passwd` → `/etc/passwd`。
– alias 指令直接替换匹配前缀：`location /files/ { alias /var/www/files/; }` 遇到 `/files/../../etc/passwd`，只把 `/files/` 替换为 `/var/www/files/`，剩余部分 `../etc/passwd` 仍保留，最终查找 `/var/www/files/../etc/passwd` → `/etc/passwd` —— 这看似一样？注意：alias 后必须带末尾斜杠，且 location 块必须精确匹配后缀（如 `/files/` 而非 `/files`），否则匹配失效，可能退化为 root 行为。
internal 指令实现“逻辑隔离”
它不是过滤器，而是访问控制开关：
– 设为 `internal` 的 location，任何来自客户端的直接 HTTP 请求都会返回 404；
– 只允许 `error_page`、`try_files`、`proxy_pass` 等内部跳转触发访问；
– 示例：
location /private/ {
internal;
alias /srv/app/secrets/;
}
即使攻击者构造 `/private/../../etc/shadow`，Nginx 也根本不进入该 location 处理，直接拒之门外。
autoindex 和隐藏文件默认关闭即构成基础屏障
Nginx 默认 `autoindex off`，这本身防止了目录结构暴露，间接削弱路径探测效率；
同时显式禁止访问点文件可堵住常见入口：
location ~ /\. {
deny all;
}
能拦截 `.git/config`、`.env`、`.htaccess` 等敏感隐藏文件的直接读取，避免攻击者通过泄露的配置反推物理路径。
路径规范化需靠人工+规则补位
Nginx 不自动解码或标准化路径（如 `//` → `/`、`/.` → `/`），所以：
– 不能依赖 `$uri` 做安全判断（它已解码，可能含换行符，引发 CRLF 注入）；
– 应优先用 `$request_uri`（原始未解码）做正则匹配；
– 可加简单防御性规则作为纵深补充：
if ($request_uri ~ "\.\./") {
return 403;
}
if ($request_uri ~ "%2e%2e%2f") {
return 403;
}
注意：`if` 在 location 外慎用，建议放在 server 块顶层或配合 `map` 提升性能。
