nginx 的 root 指令下软链接正常工作的关键是确保链接文件可读、目标路径及其所有父目录对 nginx 用户具备执行（x）权限，且未启用 disable_symlinks on；需验证权限链并配合 selinux/apparmor 放行。
在 Nginx 的 root 指令下让符号链接（软链接）正常工作，关键不是“给符号链接配权限”，而是确保整个访问链路——从链接文件本身、到它指向的目标路径、再到所有父目录——对 Nginx 工作进程用户都具备恰当的 Linux 文件系统权限。
符号链接本身只需可读，不需执行或写入
软链接是一个特殊文件，Nginx 只需能读取它（即知道它指向哪），不需要执行（x）或写入（w）权限：
- 链接文件权限设为
644或至少640即可（例如：sudo chmod 644 /var/www/html） - 属主建议为
root，属组为 Nginx 运行组（如www-data或nginx），避免被非授权用户修改链接目标 - 不要用
chown www-data:www-data给链接设属主——这反而增加被篡改风险
目标路径及其所有父目录必须有执行（x）权限
Nginx 要顺着软链接进入真实目录并读取文件，“进入”动作依赖每一级父目录的 x 权限。比如 /var/www/html → /mnt/data/www，则以下路径都需检查：
-
/mnt：需对 Nginx 用户有x（否则无法进入/mnt/data） -
/mnt/data：同样需x，且最好设为755（drwxr-xr-x） -
/mnt/data/www：目录权限建议750，属主root，属组www-data
验证命令：sudo -u www-data ls -l /mnt/data/www —— 若报 Permission denied，说明某一级缺少 x。
禁用 disable_symlinks 或按需配置
Nginx 默认允许解析软链接，但若配置中启用了安全限制，会直接拦截：
- 检查是否误加了
disable_symlinks on;（尤其在http或server块中）——有则删掉或注释 - 如确需启用该指令（例如防越权跳转），必须明确放行路径：
disable_symlinks on from=/var/www;，确保软链接位于白名单范围内 - 该指令对
root生效，对alias同样有效，但不可与root指向的挂载点冲突
配合系统级加固，防止绕过
仅靠权限还不够，需叠加防护避免攻击者利用软链接做路径遍历：
- 在
server块中封禁敏感路径：location ~ ^/(etc|proc|sys|root|boot|dev)/ { return 403; } - 关闭目录索引：
autoindex off;（即使没开也要显式写上） - 确认 SELinux 或 AppArmor 未阻止访问——Ubuntu 默认启用 AppArmor，若
root指向/srv或/opt，需更新 profile；CentOS/RHEL 开启 SELinux 时需运行：sudo setsebool -P httpd_read_user_content 1
