nginx大文件上传失败常因client_body_temp_path权限不足导致静默报错（500/413/403），需确认该路径存在、属主为worker用户（如www-data）、权限设为700，并显式配置client_body_temp_path与client_body_buffer_size协同避免频繁落盘。
文件上传失败，常被误判为“后端问题”或“网络超时”，其实很多情况是 Nginx 缓冲区配置与临时目录权限没对齐——尤其当大文件触发落盘时，client_body_temp_path 目录写不进去，就会静默报错（500/413/403），日志里只有一句 Permission denied。
确认缓冲区是否真触发了落盘
Nginx 默认用内存缓冲请求体（client_body_buffer_size，通常 8k–128k），只有超出才写磁盘。所以先判断你的上传是否真的进了临时目录：
- 小文件（如小于 128KB 的 JSON 或缩略图）可能全程走内存，压根不碰
client_body_temp_path - 大文件（如 5MB+ 图片、视频、分片包）大概率触发落盘，此时该路径的权限就至关重要
- 若你启用了
client_body_in_file_only on（强制所有请求体写文件），那哪怕 1 字节也会进临时目录
检查 client_body_temp_path 路径与归属
别依赖默认路径。执行以下命令确认实际生效的配置和运行用户：
-
nginx -T 2>/dev/null | grep client_body_temp_path—— 查看是否显式设置；未设置则用编译默认值（常见于/var/cache/nginx/client_temp或/var/nginx/client_body_temp） -
grep "user" /etc/nginx/nginx.conf—— 看 worker 进程以谁身份跑（如www-data或nginx） -
ps aux | grep nginx | grep -v master—— 实际验证 worker 用户名
拿到路径和用户后，确保该目录存在、属主正确、权限合理：
- 创建目录（若不存在）：
sudo mkdir -p /var/nginx/client_body_temp - 设属主：
sudo chown www-data:www-data /var/nginx/client_body_temp（把www-data换成你查到的实际用户） - 设权限：
sudo chmod 700 /var/nginx/client_body_temp（仅属主可读写执行，够用且安全）
绕过权限陷阱的实用配置组合
与其死磕权限，不如让 Nginx 少落盘、快清理、路径可控：
- 用绝对路径显式配置，避免歧义：
client_body_temp_path /data/nginx/upload-temp 1 2;（两级子目录提升 I/O 效率） - 搭配
client_body_buffer_size 128k;和client_max_body_size 2g;，让中小上传走内存，大上传有空间 - 加
client_body_timeout 30s;防慢速攻击长期占着缓冲或临时文件 - 挂载点启用
noatime（如 SSD 分区/data/nginx/upload-temp），减少元数据开销
别忘了 SELinux 或 AppArmor
在 CentOS/RHEL 或 Ubuntu 上，即使文件权限全对，安全模块也可能拦截：
- CentOS：运行
sudo ausearch -m avc -ts recent | grep nginx，看到avc: denied就要加策略：sudo semanage fcontext -a -t httpd_var_run_t "/data/nginx/upload-temp(/.*)?"，再sudo restorecon -Rv /data/nginx/upload-temp - Ubuntu：检查
sudo aa-status | grep nginx，若在 enforce 模式，需编辑/etc/apparmor.d/usr.sbin.nginx，添加对应路径读写规则
