master进程必须以root启动才能绑定特权端口等，worker进程则通过user指令降权运行；该指令须置于nginx.conf全局块顶部，仅出现一次，如user www-data www-data;，且需配套最小权限目录设置。
Master 进程必须以 root 启动才能绑定 80/443 等特权端口、读取 SSL 私钥、加载配置并管理 Worker；而真正处理 HTTP 请求的 Worker 进程，应严格降权为专用低权限用户——user 指令正是实现这一权限分离的核心机制。
正确放置与书写 user 指令
该指令必须位于 nginx.conf 的全局块（main context）最顶部，在 events、http 块之前，且只能出现一次：
- Debian/Ubuntu 系统推荐：
user www-data www-data; - RHEL/CentOS 系统推荐：
user nginx nginx; - 如需自定义，先创建无登录能力的系统用户：
useradd -r -s /sbin/nologin nginx-worker，再写为user nginx-worker nginx-worker; -
禁止写成
user root root;或省略该指令——否则 Worker 将以 root 运行，丧失安全隔离意义
确保 Master 有 root 权限启动
user 指令生效的前提是 Master 进程本身由 root 启动。若非 root 启动，Nginx 会警告 "the 'user' directive makes sense only if the master process runs with super-user privileges" 并忽略该指令：
- 用
systemctl start nginx时，确认 systemd unit 文件未设置User=（默认以 root 启动） - 手动执行时，必须用
sudo nginx或切换至 root 用户运行 - 验证方式：
ps aux | grep "nginx: master process"—— USER 列应为root
Worker 进程权限验证与配套保障
配置生效后，Worker 进程不会继承 Master 的 root 权限，而是主动调用 setuid()/setgid() 切换身份。需同步保障其实际运行所需权限：
- 检查进程：运行
ps -o pid,user,group,comm -C nginx，应看到一行root（Master），多行www-data或nginx（Worker） - 验证文件访问：
sudo -u www-data ls -l /var/www/html/index.html，确保可读；sudo -u www-data touch /var/log/nginx/test.log，确保日志目录可写 - 临时目录（如
/var/cache/nginx）、上传路径、SSL 证书所在目录，均需属主/属组匹配 Worker 用户，并赋予最小必要权限（如750或640）
进阶加固：限制 Master 自身能力（可选）
即使 Master 必须 root 启动，也不必保留全部 root 权限。可结合 Linux capabilities 进一步收敛：
- 仅授予绑定端口能力：
sudo setcap 'cap_net_bind_service=+ep' /usr/sbin/nginx - 之后可配合 systemd 的
AmbientCapabilities=CAP_NET_BIND_SERVICE，让 Master 以非 root 用户启动（仍需保留user指令确保 Worker 正确降权） - 注意：启用 capabilities 后，
user指令依然不可省略，否则 Worker 无法降权
