源码编译安装Nginx时，user指令必须在nginx.conf中配置而非configure阶段指定：一、创建专用系统用户（如nginx）并禁用登录；二、configure不设用户参数，仅指定prefix及依赖路径；三、在conf文件全局块顶部写user nginx nginx；四、同步调整日志、网页目录、临时路径等权限归属。
源码编译安装 Nginx 时，不能在 configure 阶段直接指定 worker 进程的运行用户——user 指令是运行时配置，由 nginx.conf 控制，而非编译参数。真正要做的是：提前创建专用非 root 用户，并在配置文件中声明，再确保权限与路径适配。整个过程分四步，环环相扣。
一、先建用户，不给 shell 登录权限
用系统命令创建一个仅用于运行 Nginx 的低权限用户（如 nginx 或 www-data），避免使用 nobody（权限语义模糊，部分发行版默认权限过宽）：
-
sudo useradd -r -s /sbin/nologin nginx（-r表示系统用户，-s /sbin/nologin禁止交互登录） - 验证：运行
id nginx，确认 UID/GID 存在且无家目录、无 shell
二、编译时不设用户，但注意依赖路径归属
configure 脚本本身没有 --user 或 --group 参数。重点在于：
- 所有依赖（如 pcre、zlib、openssl）若需手动编译，应由普通用户完成，但安装路径（如
--prefix=/home/yourname/deps）必须对其可写 - 主 Nginx 编译命令示例：
./configure --prefix=/opt/nginx --with-pcre=../pcre-8.45 --with-zlib=../zlib-1.2.13 --with-openssl=../openssl-3.0.13 - 不要加
--user类参数——它不存在，也不生效
三、配置文件顶部写明 user 指令
编译安装完成后，打开 /opt/nginx/conf/nginx.conf（或你指定的 prefix 下的 conf 文件），在 全局块最顶部（http 块之外） 添加：
-
user nginx nginx;（第一个为用户，第二个为组；若组名同名可省略第二个） - 该指令只对 worker 进程生效；master 进程仍需 root 启动（用于绑定 80/443 端口、读取配置、管理 worker）
- 务必确保该行在
worker_processes之前，否则会被忽略
四、权限闭环：目录、日志、临时文件全适配
仅改配置不够，worker 以 nginx 身份运行后，必须能读配置、写日志、访问网页根目录、创建临时文件：
- 日志目录（
logs/）和 pid 文件路径（nginx.pid）：用sudo chown -R nginx:nginx /opt/nginx/logs /opt/nginx/logs/nginx.pid - 网页根目录（如
html/）：确保nginx用户有读权限，必要时chmod 755 html并chown -R nginx:nginx html - 临时目录（
client_body_temp_path等）：在 http 块中显式指定到nginx可写的路径，例如：client_body_temp_path /tmp/nginx/client_body;sudo chown -R nginx:nginx /tmp/nginx
做完这些，用 sudo /opt/nginx/sbin/nginx -t 检查语法，再 sudo systemctl restart nginx（或直接 sudo /opt/nginx/sbin/nginx）启动。随后执行 ps aux | grep nginx，能看到 master 是 root，worker 是 nginx——这就完成了安全降权。
