root指令仅拼接路径，不控制权限；能否读取文件取决于操作系统用户权限，需配置user指令降权运行worker进程，并严格设置网站目录属主与权限（如chown root:nginx、chmod 750），否则易触发403错误。
nginx 的 root 指令本身只负责拼接请求路径与文件系统路径，它不控制权限；真正决定“能不能读到文件”的，是操作系统层面的用户身份和目录/文件权限。所以配置 root 时，必须同步考虑运行用户和权限设置，否则常见 403 Forbidden 错误。
root 指令的路径拼接逻辑要清楚
root 后跟的路径是“基础前缀”，Nginx 会把 location 匹配到的 URI（去掉匹配前缀部分）直接拼在后面。例如：
-
location /static/ { root /data/web; }→ 请求/static/logo.png→ 实际查找/data/web/static/logo.png -
location /api/ { root /opt/app; }→ 请求/api/v1/users→ 查找/opt/app/api/v1/users
注意：root 路径末尾不加斜杠，Nginx 自动处理；location 中的斜杠影响匹配范围（如 /static/ 不匹配 /static），这点容易出错。
必须指定低权限运行用户
nginx 主进程可由 root 启动（用于绑定 80/443 端口），但 worker 进程必须降权运行，否则 root 权限一旦被利用，风险极高：
- 编辑
/etc/nginx/nginx.conf，在全局块（http 上方）添加或修改：user nginx nginx; - 确保系统存在该用户且无登录能力：
useradd -r -s /sbin/nologin -M nginx - 验证：
ps aux | grep nginx应显示 worker 进程 UID/GID 是 nginx，不是 root
网站根目录权限要严格隔离
root 指向的目录（比如 /var/www/example）不能让 nginx 用户拥有写权限，更不能是 root 可写、其他用户可读：
- 属主设为 root（防止被 web 进程篡改配置或代码）：
chown -R root:nginx /var/www/example - 目录权限设为 750（root 可读写执行，nginx 组可读执行，其他无权限）：
chmod -R 750 /var/www/example - 静态文件（.html/.css/.js）设为 640：
find /var/www/example -type f -exec chmod 640 {} \; - 如果需上传功能，单独建 upload 目录并设为 nginx 可写（如 750 + chown root:nginx + chmod g+w），不要开放整个 root 目录
配套检查项不能漏
光配对 root 和权限还不够，还需确认几个关键点：
- nginx 配置文件本身权限应为 644，属主 root:root，禁止 world-readable（尤其含密码或密钥时）
- 日志目录（
/var/log/nginx）必须属主 nginx:nginx，权限 700，否则 worker 进程无法写日志 - pid 文件目录（如
/var/run/nginx）同样需 nginx 属主 + 700 权限 - 用
nginx -t测试配置后，再systemctl reload nginx，避免 reload 失败导致服务中断
