如何利用 disable_symlinks 指令规避软链接导致的静态资源越权访问-Nginx-PHP中文网

disable_symlinks指令不能在http块中使用，仅支持location或server块，需配合from=指定绝对路径基目录，用于拦截符号链接逃逸，防止静态资源越权访问。

如何利用 disable_symlinks 指令规避软链接导致的静态资源越权访问

disable_symlinks 是 Nginx 内置的安全机制，不是用来“规避”越权访问的工具，而是主动阻止越权访问的防护指令。它不能“绕过”风险，而是从文件系统访问源头拦截符号链接逃逸行为。正确使用它，才能真正防范软链接引发的静态资源越权（如 /static/../../etc/passwd 类路径穿越）。

为什么软链接会导致静态资源越权？

Nginx 在解析 root 或 alias 路径时，若路径中含符号链接，会自动跟随跳转到目标路径。只要 worker 进程对目标路径有读权限，就可能意外暴露本不应公开的系统文件或敏感目录。

例如：

location /static/ {
    alias /var/www/html/static/;
}

若 /var/www/html/static/js 实际是软链接指向 /etc/，请求 /static/js/shadow 就可能读取 /etc/shadow（前提是 nginx 用户有权限）。

正确启用 disable_symlinks 防御越权

该指令只能在 location 或 server 块中使用，且必须配合明确的根路径（from=）：

location /static/ {
    alias /var/www/static/;
    disable_symlinks on from=/var/www/static/;
}

on：启用检查
from=/var/www/static/：指定可信基目录（必须为绝对路径，末尾斜杠建议保留）

Nginx 会验证：
✅ 请求最终解析出的物理路径是否完全落在 /var/www/static/ 内（包括所有中间软链目标）
❌ 若任一环节跳转到该目录之外（如 /var/www/static/../etc/），直接返回 403 Forbidden

⚠️ 注意：disable_symlinks 对 proxy_pass、fastcgi_pass 等不生效——它只约束 Nginx 自己读文件的行为（如 try_files、alias、root 后的路径解析）。

配合使用的必要措施

仅靠 disable_symlinks 不够，还需同步加固：

严格限制软链接所在目录权限
确保 nginx 用户（如 www-data）对 /var/www/static/ 及其父目录有 r-x，但对 /etc/、/home/ 等敏感路径无任何权限
禁用用户创建软链接的能力
在静态资源目录上设置 chattr +a（仅追加）或 chmod o-w，防止攻击者上传恶意软链
避免在 root/alias 中使用相对路径软链
如 ln -s ../data/uploads ./uploads，Nginx 解析时以进程工作目录为基准，极易失控。一律用绝对路径创建软链
开启 error_log 跟踪检测失败
加入 error_log /var/log/nginx/error.log notice;，当 disable_symlinks 触发拦截时，日志会记录类似：
*1 symbolic link is not allowed by disable_symlinks

替代或补充方案（当 disable_symlinks 不可用时）

使用 open_file_cache off; 避免缓存软链解析结果（治标不治本）
在 location 中用正则拒绝含 .. 的 URI：
```
if ($request_uri ~ "\.\.") { return 403; }
```
（注意：if 在 location 中慎用，优先选 map + return）
应用层校验：PHP 中用 is_link() + realpath() 判断并拦截（见 safe_file_exists 模式）
容器化部署时，通过挂载只读卷、chroot 或 SELinux 策略从系统层隔离

不复杂但容易忽略