internal指令用于标记仅限nginx内部跳转访问的location，必须置于^~或=匹配的具名块中，通过rewrite last、auth_request或x-accel-redirect触发，外部请求直接返回404，实现真实文件路径的硬隔离与安全下载。
要通过 Nginx 的 location 实现内部文件下载的重定向（即不暴露真实路径、不走应用层、由 Nginx 直接服务静态文件），核心是结合 internal 指令 + alias 或 root + 合理的匹配规则，防止外部直接访问敏感路径。
用 internal 限定仅内部重定向可访问
internal 是关键：它让该 location 只能被 rewrite ... last、error_page 或 try_files 等内部跳转触发，外部请求直接返回 404。
- 适合做“下载入口” —— 用户请求
/download/abc.pdf，Nginx 内部 rewrite 到/_internal/files/abc.pdf，后者加internal保护真实路径 - 不能配
return 302或proxy_pass，否则会绕过 internal 限制
location 匹配 + rewrite 跳转到内部路径
先定义一个公开的下载入口 location，用正则或前缀匹配请求，再 rewrite 到受保护的 internal 区域：
location ^~ /download/ {
# 允许访问 /download/xxx，但不暴露真实路径
rewrite ^/download/(.+)$ /_internal/files/$1 break;
}
注意：break 表示内部重写后不再重新匹配 location；若用 last，需确保目标 location 能被匹配到（比如下面的 /_internal/）。
internal location 配置真实文件路径
对应上面的 rewrite，定义一个仅内部可用的 location，指向实际文件目录：
location ^~ /_internal/files/ {
internal; # ⚠️ 必须加，禁止外部直连
alias /var/www/private-files/; # 注意 alias 末尾有斜杠，路径会替换掉匹配部分
# 或用 root：root /var/www; → 则请求 /_internal/files/a.pdf 对应 /var/www/_internal/files/a.pdf
}
- 用
alias更灵活：匹配前缀被完全替换，alias /path/+ 请求/_internal/files/x.pdf→ 实际读取/path/x.pdf - 用
root时，完整 URI 会拼在 root 后，需注意层级，容易出错 - 建议对下载加
add_header Content-Disposition "attachment; filename=$arg_filename";（配合 query 参数）或用$request_filename提取文件名
增强安全与体验的小技巧
避免简单暴露文件名、防止遍历、支持中文名、控制 MIME 类型：
- 校验文件名：用
if ($request_filename ~ "\.\./") { return 403; }（慎用 if，生产建议用 map 或模块替代） - 统一设置下载头：
add_header Content-Disposition "attachment; filename*=UTF-8''$uri";（现代浏览器支持 RFC 5987 编码） - 强制 MIME 类型为
application/octet-stream防止 XSS：types { } default_type application/octet-stream;放在 internal location 内 - 结合
secure_link模块可实现带有时效/签名的下载链接，进一步防盗链
