nginx静态资源权限控制核心是分层设防：先用autoindex off、limit_except get head等基础限制拦截非法路径与方法；再以valid_referers白名单防粗暴盗链；对私有资源则必须结合internal指令与后端x-accel-redirect实现鉴权后零带宽转发。
在 Nginx 中管理静态资源请求的权限控制，核心是“分层设防 + 按需放行”，不是简单封禁或全开。重点在于区分资源敏感等级，用原生指令组合实现轻量、可靠、可维护的访问控制。
基础路径与方法限制
这是第一道防线，防止非法路径穿越和非必要 HTTP 方法滥用。
- 关闭目录浏览：
autoindex off;，避免访问/images/时暴露文件列表 - 屏蔽隐藏文件：
location ~ /\. { deny all; }，拦截/.git/config、/.env等 - 只允许安全方法：
limit_except GET HEAD { deny all; }，禁用 POST/PUT/DELETE，比if更安全稳定 - 禁用符号链接：
disable_symlinks on;（配合alias使用），防止通过软链读取系统任意路径
Referer 防盗链（适合公开但不希望被外站嵌用的资源）
适用于图片、JS、CSS 等易被直接引用的资源，能快速拦截粗暴盗链，但不能替代身份鉴权。
- 配置白名单：
valid_referers none blocked your-domain.com *.your-domain.com; -
none允许用户直接输入 URL 访问（如收藏图链），blocked拦掉 Referer 被清空的请求（如某些代理或 HTTPS→HTTP 场景） - 避免写 IP 或泛域名通配符（如
*.com），HTTPS + CDN 下易失效 - 注意：Referer 可伪造，仅防“懒人盗链”，不防登录用户分享直链或爬虫
internal + X-Accel-Redirect（真正保护私有资源）
用于身份证照、用户报表、后台导出文件等绝对不允许浏览器直连的资源。
- 声明路径为内部专用：
location /private/ { internal; alias /data/private/; }，此时直接访问返回 403/404 - 后端（如 Spring Boot、Django、PHP）完成登录态、角色、时效等校验后，响应头中设置：
X-Accel-Redirect: /private/report.pdf - Nginx 收到该头后静默读取文件并返回，不经过应用层读取，零带宽损耗、高性能
- 关键点：必须由后端触发，前端跳转或 AJAX 请求无法绕过鉴权
文件系统权限与运行用户协同控制
再好的 Nginx 配置也依赖底层权限正确落地，否则会报 403 或 Permission denied。
- 确认 worker 进程真实用户：
ps aux | grep nginx查看 worker 是否以www-data（或nginx）运行 - 静态根目录逐级赋予执行权（x）：
/var/www/example.com→/public→/images，缺任一级都会失败 - 推荐权限组合：
• 根目录：chmod 750 /var/www/example.com，属主 deploy，属组 www-data
• 文件：chmod 640 *.jpg *.js
• 上传目录：chmod g+w uploads/，但禁用 PHP 解析：location ~ \.php$ { deny all; } - 用
sudo -u www-data ls -l /path模拟测试，比重启后“能打开”更可信
