nginx 通过默认开启的 merge_slashes 自动完成路径归一化，包括去除重复斜杠、解析 ../ 和 ./、移除末尾斜杠等，确保 location 匹配和 root/alias 解析基于规范路径；可通过 rewrite 实现对外重定向标准化，结合 alias 替代 root 防越界访问，仅调试时才建议关闭归一化。
请求路径归一化，本质是把用户发来的各种不规范、带冗余符号的 URL（比如 /a//b/../c/、/path//、/index.html/）统一标准化为简洁、安全、可预测的路径形式，再交给后续处理（如静态文件服务或反向代理）。Nginx 本身不提供“手动编写归一化逻辑”的接口，但通过内置机制和合理配置，能自动、可靠地完成这项工作。
启用标准路径规范化（默认已开启）
Nginx 在解析 URI 时，默认就会执行基础路径归一化：自动去除重复斜杠（// → /）、解析点号路径（/a/../b → /b）、移除末尾斜杠（对非目录型请求）等。这个行为由 merge_slashes 指令控制，且默认为 on。
- 无需额外配置，只要没显式设为
off，就始终生效 - 它在 location 匹配前完成，确保所有匹配和 root/alias 解析都基于规整后的路径
- 例如请求
http://localhost/a///b/../../index.html，Nginx 内部实际匹配的是/index.html
用 rewrite 强制重定向到规范形式
对于需要对外暴露“干净 URL”的场景（如 SEO 友好、避免重复内容），可主动用 rewrite 将非规范请求 301 重定向为标准路径：
- 消除末尾多余斜杠（除根路径外）：
rewrite ^/(.+?)/+$ /$1 permanent; - 统一小写路径（若业务允许）：
rewrite ^([A-Z]+.*)$ /${lower:$1} permanent;（需启用ngx_http_rewrite_module及lower变量支持） - 移除 query string 中的空参数或编码冗余（需配合 map 或 lua，常规 rewrite 不处理 query）
结合 alias 与 root 避免路径泄露风险
归一化不只是格式整洁，更是安全前提。使用 root 时，Nginx 会将请求路径拼接到 root 目录后；而 alias 则直接替换 location 路径段——这对防止越界访问很关键：
- 错误示例（root + 不严谨 location）：
location /static/ { root /var/www; }
请求/static/../etc/passwd经归一化后变成/etc/passwd，拼接为/var/www/etc/passwd→ 可能越权 - 安全做法（用 alias）：
location /static/ { alias /var/www/static/; }
此时/static/..不会被拼接，Nginx 直接拒绝或返回 404 - 更稳妥：搭配
secure_link或限制location ~ \.\.\/返回 403
关闭自动归一化（仅调试或特殊需求）
极少数场景（如需保留原始 URI 做审计或兼容旧系统），可关闭默认归一化：
- 在 http 或 server 块中添加：
merge_slashes off; - 注意：关闭后，
location /a/b将不再匹配/a//b，需显式写多个 location 或用正则覆盖 - 生产环境一般不建议关闭，易引发匹配失效或安全隐患
