直接在location块中做路径匹配与策略嵌套是nginx实现资源路径级细粒度授权最高效、最可控的方式，不依赖外部模块、无需修改业务代码，即可对不同url路径施加差异化访问控制、限流、过滤及响应策略。
直接在 location 块中做路径匹配与策略嵌套，是 Nginx 实现资源路径级细粒度授权最高效、最可控的方式。它不依赖外部模块，也不用改业务代码，就能对不同 URL 路径施加差异化的访问控制、限流、过滤或响应策略。
按路径精准匹配并施加访问控制
利用 location 指令的前缀匹配、正则匹配和嵌套能力，可将资源路径映射为可识别的控制单元。例如：
-
location /api/v1/admin/ { deny all; }—— 拦截所有以/api/v1/admin/开头的敏感管理接口 -
location ~* \.(bak|conf|log|swp)$ { deny all; }—— 禁止访问常见备份与配置类后缀文件 -
location ^~ /static/uploads/ { allow 192.168.10.0/24; deny all; }—— 仅允许内网上传目录被指定网段访问
结合变量与 map 实现动态权限决策
当权限逻辑需关联请求头、参数或用户身份时，可用 map 指令预计算权限标签，再在 location 中引用：
- 定义权限映射：
map $http_x_user_role $can_edit { default "false"; "admin" "true"; "editor" "true"; } - 在路径中应用：
location /content/edit { if ($can_edit = "false") { return 403; } } - 也可配合
auth_request模块，将权限判断委托给上游鉴权服务，实现 RBAC 或 ABAC 风格的资源级控制
差异化策略：限流、防盗链、响应头加固
同一路径可叠加多层策略，形成纵深防护：
- 对图片资源启用防盗链：
location ~* \.(jpg|jpeg|png|gif)$ { valid_referers none blocked server_names *.example.com; if ($invalid_referer) { return 403; } } - 对登录接口限流：
location = /login { limit_req zone=auth burst=5 nodelay; } - 对静态资源关闭敏感响应头：
location /assets/ { add_header X-Content-Type-Options nosniff; add_header X-Frame-Options DENY; }
系统级文件权限协同保障缓存安全
若使用 proxy_store 缓存资源到本地磁盘，需同步控制操作系统层面的读写权限：
- 设置缓存文件属主权限：
proxy_store_access user:rw group:r all:r;（Nginx 进程可读写，同组只读，其他用户只读） - 确保缓存目录属主一致：
chown -R nginx:nginx /var/www/cache，且目录具备执行权限（chmod 755）以便访问内部文件 - 避免
all:rw配置，防止低权限 shell 篡改缓存内容造成投毒
不复杂但容易忽略——路径匹配是基础，变量与指令组合才是实现真正细粒度的关键。
