关键在于确保nginx能读取软链接指向的真实文件：需在location块中配置disable_symlinks off，优先使用alias而非root，并保证nginx用户对软链接及其目标路径、所有父目录具备r-x权限，同时兼顾selinux/apparmor策略。
要让 Nginx 正确访问静态资源路径中的软链接，关键不是“让 Nginx 解析软链接”，而是确保它最终能读取到软链接指向的真实文件——这取决于权限配置、指令选择和安全策略的协同。
必须启用 disable_symlinks off
Nginx 默认禁止跟随软链接，这是出于安全考虑（防路径遍历）。若 location 中使用了软链接路径，必须显式关闭该限制：
- 只能写在
location块内，不能放在server或http级别 - 需与
alias或root同级，且仅对该 location 生效 - 示例：
location /static/ { alias /data/releases/current/; disable_symlinks off; }
优先用 alias + 软链接，慎用 root
alias 是更清晰、更可控的选择。它直接替换路径，不拼接 URI，软链接只需放在 alias 指向的位置即可：
- 软链接
/data/releases/current → /data/releases/v2.3.1 - 请求
/static/js/app.js会映射到/data/releases/current/js/app.js，再由系统解析为真实路径 - 而
root会把 URI 追加到路径后，容易导致语义错位（如root /data/releases;+ 请求/static/→ 查找/data/releases/static/）
权限必须覆盖软链接及其所有父目录
Nginx worker 进程（如 www-data）需要对以下三类路径都有执行（x）和读取（r）权限：
- 软链接文件自身所在目录（如
/data/releases） - 软链接指向的目标路径（如
/data/releases/v2.3.1） - 目标路径的所有上级目录（
/data、/等，直到根目录） - 特别注意：home 目录（如
/home/user）默认无其他用户执行权，常是 403 的根源
SELinux 或 AppArmor 可能拦截访问
即使文件权限正确，强制访问控制机制仍可能拒绝读取：
- 临时验证：运行
setenforce 0关闭 SELinux，看是否恢复访问 - 永久修复：为软链接目标路径添加 httpd_sys_content_t 上下文，例如：
semanage fcontext -a -t httpd_sys_content_t "/data/releases(/.*)?"restorecon -Rv /data/releases - AppArmor 用户需检查 profile 是否允许访问目标路径
