nginx中alias配置静态目录需协同文件系统权限、location规则与认证机制实现严格访问控制：默认禁用autoindex，仅在精确alias映射的location中按需开启，并强制auth_basic认证；通过正则封堵敏感路径与遍历攻击；同时收紧linux目录属主与权限（如750/640）并确保父目录可执行。
在 Nginx 中用 alias 配置静态目录时，目录列表（autoindex）本身不自带权限控制能力，必须结合文件系统权限、location 规则和认证机制三者协同，才能实现严格访问限制。
关闭 autoindex 或仅对可信路径启用
默认应禁用目录列表，除非明确需要浏览功能：
- 始终设
autoindex off;，这是最基础的安全防线 - 若确需列出文件（如内部共享目录），只在特定
location块中开启，且该 location 必须使用alias精确映射，不依赖root拼接 - 示例：
location ^~ /shared/ { alias /var/www/internal-shared/; autoindex on; }—— 此处/shared/的 URI 与物理路径完全解耦，避免路径穿越风险
强制基础认证（auth_basic）拦截未授权访问
即使目录可读，也应要求身份验证：
- 生成密码文件：
sudo htpasswd -c /etc/nginx/.htpasswd-shared shared-user - 在对应 location 中加入：
auth_basic "Shared Files Area"; auth_basic_user_file /etc/nginx/.htpasswd-shared;
- 注意：多个敏感目录可共用一个密码文件，也可为每个目录配独立文件（如
.htpasswd-docs、.htpasswd-logs）以实现分级管控
用 location + 正则主动封堵高危行为
URL 层面的防护不能依赖系统权限：
- 禁止访问隐藏文件或敏感扩展：
location ~ ^/shared/\.|\.env$|\.git/|\.svn/ { return 403; } - 防御路径遍历攻击：
if ($request_uri ~ "\.\.") { return 403; }（放在该 location 内） - 避免正则捕获后拼接路径（如
alias /data/$1/;），防止变量污染导致越权读取
配合 Linux 权限收紧实际读取能力
Nginx 进程只能读它有权限访问的文件：
- 确认运行用户（如
www-data或nginx）：grep "user" /etc/nginx/nginx.conf - 设目录属主：
sudo chown -R www-data:shared-group /var/www/internal-shared/ - 设权限：目录
750（所有者读写执行，组读执行），文件640（所有者读写，组只读） - 确保父路径（如
/var、/var/www）对 Nginx 用户有x权限，否则 403 错误无法避免
