nginx强化静态资源访问控制的核心是精准放行合法请求、阻断风险路径、减少攻击面，需遵循默认拒绝原则：关闭目录浏览（autoindex off）、屏蔽隐藏文件（location ~ /. { deny all; }）、限制http方法（limit_except get head { deny all; }）、隔离敏感路径（alias + disable_symlinks on）、添加安全响应头与合理缓存策略。
用 Nginx 强化静态资源访问控制，核心不是“拦住所有人”，而是精准放行合法请求、阻断风险路径、减少攻击面。重点在配置粒度和默认拒绝原则。
关闭目录浏览与隐藏文件访问
防止用户通过 URL 猜测目录结构或读取敏感配置文件：
- 在 location / 或全局 server 块中添加 autoindex off;，禁用自动索引列表
- 加一条规则屏蔽以点开头的隐藏文件：location ~ /\. { deny all; }
- 若静态目录下有 .git、.env、.htaccess 等，这条规则能直接拦截其访问
限定 HTTP 方法与资源类型
静态资源只需响应 GET 和 HEAD，其他方法（如 PUT、DELETE、POST）无意义且可能被滥用：
- 在对应 location 块中加入：limit_except GET HEAD { deny all; }
- 比用 if 判断 $request_method 更安全、更高效，避免 if 的潜在陷阱
- 配合后缀匹配（如 location ~* \.(js|css|png|woff2)$），让限制只作用于真实静态文件
隔离敏感路径与禁止符号链接
避免因配置不当导致越权访问服务器任意位置：
- 对下载类或上传类静态路径（如 /downloads/），使用 alias 而非 root，并启用 disable_symlinks on;
- 例如：location /downloads/ { alias /data/public/; disable_symlinks on; }
- 确保该目录权限严格（如属主 www-data，不开放写权限），防止恶意覆盖或遍历
添加安全响应头与缓存策略
虽不直接“控制访问”，但能降低 XSS、MIME 混淆、点击劫持等风险，并减少无效重请求：
- 全局或 location 块中设置：add_header X-Content-Type-Options "nosniff";
- add_header X-Frame-Options "DENY"; 防止页面被嵌入 iframe
- 对长期不变资源（如 JS/CSS/字体），用 expires 1y; + Cache-Control "public, immutable"，既提升性能，也减少服务端校验压力
