备份必须物理隔离、强加密、最小权限且闭环验证；禁放web可访问路径，推荐/opt/backup/等独立加密卷，权限设为700，私钥用aes256加密并离线保管，恢复前须离线校验。
备份文件一旦落入错误路径或权限失控，就等于把系统钥匙交到攻击者手上。妥善保管的关键是物理隔离、强加密、最小权限和闭环验证——不是“藏好”，而是让泄露后也无法解密、无法访问、无法滥用。
备份目录必须脱离 Web 可访问范围
绝对禁止将备份文件放在 /var/www/、/usr/share/nginx/html/ 或任何被 Nginx root 或 alias 指向的路径下。否则一个简单 URL（如 https://example.com/backup/nginx_20260820.tar.gz）就能直接下载。
- 推荐存放位置：/opt/backup/、/mnt/backup/ 或挂载的独立加密卷，且确保 Nginx 用户（如
www-data或nginx）对该目录无读取权限 - 检查是否暴露：执行
curl -I http://localhost/backup/，应返回404或403；若返回200或目录列表，立即整改 - 若历史原因已放错，用
location ^~ /backup/ { deny all; }强制拦截，但这只是补救，不是替代迁移
文件本身必须加密且权限收紧
明文备份 = 泄露即失守。即使备份目录不被 Web 访问，服务器被入侵后仍可能被拖库。
- 私钥与敏感配置必须单独加密：用
gpg --cipher-algo AES256 --symmetric加密，口令离线保存（如密码管理器），严禁写入脚本或环境变量 - 原始备份包权限设为
600，属主为root，禁止组和其他用户读写：chmod 600 /opt/backup/nginx_full_20260820.tar.gz.gpg - 整个备份目录权限设为
700：chmod 700 /opt/backup/，防止非 root 用户列出内容
存储位置要满足“三不”硬约束
本地磁盘备份只是心理安慰。真正有效的备份必须跨域隔离。
-
不共机：备份包不得存于 Nginx 所在服务器的任何分区（包括
/backup、/tmp、Docker 卷） - 不共网：上传至跨区域对象存储（如 AWS S3 us-west-2 + KMS 加密，或 MinIO 启用桶级 SSE-KMS），禁用同网段 NAS
-
不共权：上传账号仅允许
PutObject，禁用ListBucket和DeleteObject，防勒索软件清空备份
恢复前必须离线校验再落地
恢复动作本身是高危操作。未经验证的备份覆盖生产配置，可能引发服务中断或引入后门。
- 下载备份后，先在断网虚拟机中解密并校验签名：
gpg --verify backup.gpg+sha256sum -c checksums.sha256 - 解压后检查证书私钥权限是否为
600、属主是否为root:root；检查 Nginx 配置语法：nginx -t - 确认无误后，再平滑重载：
nginx -s reload，避免kill -HUP等非标准方式
