nginx -t通过但运行报错，说明配置语法无误，问题出在文件路径、权限、端口占用、SELinux或运行时依赖等隐蔽环节，需检查证书、日志目录、include路径、worker用户权限、端口绑定及error.log真实报错。
语法检查通过但运行报错，说明 nginx -t 认为配置“写得没错”，但实际加载或运行时仍触发了错误。这类问题不涉及拼写或括号缺失，而是出在逻辑、路径、权限、上下文依赖等更隐蔽的环节。
检查配置中引用的文件是否存在且可访问
Nginx 在 -t 阶段只做静态解析，不会真正打开证书、日志、include 的文件或 root 指向的目录。一旦运行时找不到这些资源，就会报错（常见于 403、500、启动失败）。
- 确认 ssl_certificate 和 ssl_certificate_key 路径下的文件真实存在，且内容格式正确（无 BOM、无加密私钥、PEM 格式）
- 检查 access_log 和 error_log 指定的目录是否已创建，Nginx worker 用户（如 nginx 或 www-data）是否有写入权限
- 验证所有 include 指令指向的路径能被通配匹配，比如
include conf.d/*.conf;对应目录下不能有空文件或非法命名的 .conf 文件
确认 worker 进程用户对关键路径有足够权限
master 进程以 root 启动，但 worker 进程会降权为配置中 user 指令指定的用户（默认常为 nginx 或 www-data）。这个用户必须能：
- 读取网站根目录及其所有子文件（需目录有 x 权限，文件有 r 权限）
- 进入 client_body_temp_path、proxy_temp_path 等临时目录（需 rwx）
- 写入日志目录、pid 文件路径（若自定义了 pid 指令）
可用 ps aux | grep nginx 查看 worker 进程运行用户，再用 ls -ld /path/to/dir 核对权限和属主。
排查端口、地址绑定与 SELinux 约束
nginx -t 不检测端口是否被占用、IP 是否可用、SELinux 是否阻止绑定。运行时报错如 “bind() to 0.0.0.0:80 failed” 或 “Permission denied” 往往源于此。
- 执行
sudo ss -tuln | grep ':80'检查端口占用 - 若监听非 localhost 地址（如
listen 192.168.1.100:80），确认该 IP 已配置在本机网卡上 - 在启用 SELinux 的系统（如 CentOS/RHEL）中，运行
sudo setsebool -P httpd_can_network_bind 1允许 Nginx 绑定端口；也可临时用sudo setenforce 0测试是否为 SELinux 导致
查看 error.log 获取真实运行时错误
很多“语法通过却启动失败”的情况，nginx -t 不会提示任何问题，但 Nginx 启动后立即退出，错误全记录在 error.log 中。
- 先确认日志路径：查看 nginx.conf 中
error_log指令指向何处（默认常为/var/log/nginx/error.log） - 用
sudo tail -n 20 /var/log/nginx/error.log查看最新报错，重点关注以[emerg]或[alert]开头的条目 - 若日志为空，可能是 Nginx 连写日志目录的权限都没有——此时回到上一步检查日志路径权限
