nginx -t 权限不足本质是配置路径（日志、pid、临时目录）当前运行用户无访问权，需检查并修复对应目录属主、权限及selinux上下文，同时配置systemd-tmpfiles确保/run下目录重启后自动重建。

nginx -t 提示权限不足，本质是配置中指定的某些路径（如日志文件、PID 文件、临时目录）当前运行用户无权访问——nginx -t 本身不检查语法以外的任何权限，但它在执行时会尝试打开这些路径，一旦失败就报错。常见错误如：

nginx: [emerg] open() "/var/log/nginx/access.log" failed (13: Permission denied)
nginx: [emerg] open() "/run/nginx.pid" failed (13: Permission denied)

这类报错不是配置写错了，而是 Nginx 在做“模拟启动”时，发现 worker 进程（非 root）无法读/写/进入配置里声明的路径。

---

确认 Nginx 实际工作用户

nginx -t 使用的用户，和你 systemctl start nginx 启动后 worker 进程用的用户一致，由 user 指令决定：

• 查看配置中的设置：
  grep "^user" /etc/nginx/nginx.conf
  输出类似 user nginx; 或 user www-data;

• 验证该用户是否真实存在：
  id nginx 或 getent passwd nginx

• 若配置被注释或未生效，可查正在运行的 worker 进程：
  ps -eo pid,user,comm,args | grep "nginx: worker process"

---

检查报错路径的逐级权限

以 open() "/var/log/nginx/access.log" failed (13: Permission denied) 为例，需检查：

linux-performance-analyzer

Linux 性能分析与调优专家，覆盖 CPU、内存、磁盘 I/O、网络、内核参数、编译优化、容器/K8s。适用场景：系统卡顿/高负载、内存不足/OOM/Swap 高、CPU 异常/iowait 高。

下载

• /var/log/nginx/ 目录是否存在？
  ls -ld /var/log/nginx

• /var/log/nginx/ 是否对 nginx 用户可写？
  要求：属主是 nginx，或属组是 nginx 且目录有 g+w，或权限含 o+w（不推荐）

• /var/log/ 父目录是否可进入？
  ls -ld /var/log → 必须有 x 权限（即 drwxr-xr-x 类型），否则连目录都进不去

✅ 正确示例：
/var/log/nginx → drwxr-x--- nginx nginx（nginx 用户是 owner，可读写执行）
❌ 错误示例：
/var/log/nginx → drw-r----- root root（无 x 权限，nginx 用户进不去）

---

修复常见路径权限（按需操作）

日志目录（如 /var/log/nginx/）

sudo mkdir -p /var/log/nginx
sudo chown nginx:nginx /var/log/nginx
sudo chmod 755 /var/log/nginx
# 确保 access.log/error.log 本身也归 nginx 所有（若已存在）
sudo touch /var/log/nginx/access.log /var/log/nginx/error.log
sudo chown nginx:nginx /var/log/nginx/*.log

PID 目录（如 /run/nginx/ 或 /var/run/nginx）

sudo mkdir -p /run/nginx
sudo chown nginx:nginx /run/nginx
sudo chmod 755 /run/nginx
# 注意：/run 是 tmpfs，重启清空，建议用 systemd-tmpfiles 自动重建（见下文）

临时文件目录（proxy_temp_path、client_body_temp_path 等）

在 http 或 server 块中查这些指令，例如：

proxy_temp_path /var/cache/nginx/proxy_temp;

对应修复：

sudo mkdir -p /var/cache/nginx/proxy_temp
sudo chown nginx:nginx /var/cache/nginx/proxy_temp
sudo chmod 755 /var/cache/nginx/proxy_temp

---

别忘了 SELinux 和 systemd-tmpfiles

• SELinux：在 CentOS/RHEL 上，即使权限全对，也可能拦截。
  临时验证：sudo setenforce 0 → 再跑 nginx -t；若通过，说明是 SELinux 导致。
  长期方案：打上下文标签，例如：

  sudo semanage fcontext -a -t httpd_log_t "/var/log/nginx(/.*)?"
  sudo restorecon -Rv /var/log/nginx

• systemd-tmpfiles：/run/nginx 重启即消失，应配置自动重建：
  创建 /usr/lib/tmpfiles.d/nginx.conf：

  d /run/nginx 0755 nginx nginx -

  然后执行 sudo systemd-tmpfiles --create。

---

不复杂但容易忽略