Nginx 怎么在目录结构中通过权限隔离防止普通用户查看配置文件密码-Nginx-PHP中文网

最根本有效的防护是将密码文件（如.htpasswd）置于web不可访问路径并严格限制系统权限：存于/etc/nginx/等非web根目录，设chmod 600、chown root:root，nginx配置中禁用autoindex并deny所有.ht开头及.key/.pem/.conf等敏感后缀请求。

nginx 怎么在目录结构中通过权限隔离防止普通用户查看配置文件密码

Nginx 本身不直接“读取”或“暴露”配置文件中的密码，真正需要防范的是：配置文件里引用的密码文件（如 .htpasswd）被 Web 请求意外访问到，或者私钥、认证文件因系统权限设置不当被普通用户读取。所谓“目录结构中通过权限隔离”，核心不是靠 Nginx 配置本身加密，而是靠文件系统权限 + 路径设计 + Nginx 运行上下文协同控制。

以下四点是实际有效且必须同步落实的关键措施：

密码文件绝不放在 Web 可访问路径下
.htpasswd 文件必须存放在 Nginx 配置能引用、但 HTTP 请求无法抵达的位置。例如：
✅ 推荐路径：/etc/nginx/.htpasswd-admin 或 /usr/local/nginx/conf/auth/
❌ 危险路径：/var/www/html/.htpasswd、/usr/share/nginx/html/.htpasswd（浏览器访问 https://site/.htpasswd 可能直接下载明文）
严格限制密码文件的系统权限
Nginx 主进程以 root 启动，工作进程通常以 www-data 或 nginx 用户运行。密码文件只需对 root 可读：
```
chmod 600 /etc/nginx/.htpasswd-admin
chown root:root /etc/nginx/.htpasswd-admin
```
禁止 644、664、755 等权限——这些会让同服务器上的 PHP 脚本、Shell 用户甚至 CGI 程序轻易读取。

Nginx Hosting
通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

Nginx 配置中禁用 autoindex，并显式拒绝敏感路径
即使密码文件不在 Web 根目录，也要防误配导致暴露：

# 全局禁止目录列表（防意外暴露）
server {
    autoindex off;
    # 显式拦截所有以 .ht 开头的文件
    location ~ /\.ht {
        deny all;
    }
    # 拦截常见敏感后缀
    location ~ /\.(key|pem|conf|passwd|htaccess|htpasswd)$ {
        deny all;
    }
}

确保 Nginx worker 进程无权访问密码文件所在目录
若你为不同目录配置了不同 .htpasswd（如 /etc/nginx/auth/internal.passwd 和 /etc/nginx/auth/public.passwd），应让这些文件所在目录权限也为 700：
```
mkdir -p /etc/nginx/auth
chmod 700 /etc/nginx/auth
chown root:root /etc/nginx/auth
```
这样即使攻击者突破某个 PHP 应用获得 shell，也无法 ls /etc/nginx/auth/ 或 cat 里面的内容。

不复杂但容易忽略——真正的隔离不在 Nginx 的 location 里写多少规则，而在于把密码文件“锁进抽屉”，再把抽屉钥匙只交给 root。