nginx可在只读文件系统上正常提供静态资源，前提是运行用户对路径有r-x权限、禁用所有写操作（如日志、临时路径）、关闭sendfile避免内核冲突，并逐级验证目录执行权限。
Nginx 本身不能“设置”只读文件系统，它只能在已挂载为只读（read-only）的文件系统上，以合适权限访问其中的静态资源。关键不是让 Nginx 改变文件系统状态，而是确保它能在只读前提下顺利读取文件和目录——这依赖于正确的用户身份、最小必要权限配置，以及规避写操作。
以下四点是实际生效的核心操作：
确认 Nginx 运行用户对只读路径有 r-x 权限
只读文件系统不阻止读取，但 Linux 权限机制仍起作用：
- 目录必须有
x（执行）权限才能进入，有r（读）权限才能列出内容（若开启 autoindex） - 文件必须有
r（读）权限才能被 Nginx worker 进程打开并响应客户端 - 常见做法：将网站根目录属组设为 Nginx 用户所在组（如
nginx:nginx或www-data:www-data），再赋予组r-x权限sudo chown -R root:nginx /mnt/readonly/site sudo chmod -R 755 /mnt/readonly/site # 确保目录可遍历、文件可读
禁用所有需要写入的模块与配置
只读文件系统下，任何尝试写入的操作都会失败并报错（如 Permission denied）。需主动关闭：
- 关闭 access_log 和 error_log 写入（或重定向到可写分区）：
access_log /dev/null; error_log /dev/null warn; # 或指向 /var/log/nginx/（确保该路径可写）
- 禁用
open_file_cache的写相关行为（如open_file_cache_errors on可能触发日志写入，建议关） - 移除或注释掉
client_body_temp_path、proxy_temp_path、fastcgi_temp_path等临时路径配置（它们默认需写权限）
避免触发内核级写行为（如 sendfile + 特定挂载选项冲突）
某些只读挂载（尤其是 NFS 或 overlayfs）配合 sendfile on 可能因内核处理逻辑异常导致 500 错误：
- 若访问静态文件时偶发失败，先试关闭 sendfile：
sendfile off; tcp_nopush off;
- 同时确认挂载时未启用
noexec或nosuid（虽不影响读，但可能干扰某些检测逻辑）
验证路径层级的执行权限（常被忽略的关键点）
Nginx 要访问 /mnt/readonly/site/css/style.css，需逐层满足：
-
/mnt→ 至少--x（其他用户可进入） -
/mnt/readonly→ 至少--x -
/mnt/readonly/site→r-x（属组或属主匹配） -
/mnt/readonly/site/css/→r-x -
style.css→r--
可用此命令快速检查：
namei -l /mnt/readonly/site/css/style.css
输出中每级都应显示当前 Nginx 用户（或其所属组）有 r 或 x 权限。
不复杂但容易忽略
