alias 不用于隐藏路径，而是替换 location 前缀以解耦 url 与物理路径；真正隐藏依赖禁用 autoindex、屏蔽敏感文件、关闭 server_tokens、限制日志与错误页路径泄露，并严格管控目录权限。
在 Nginx 中，alias 指令本身**不用于“隐藏”路径**，它只是将 location 匹配到的 URI 路径映射到文件系统中的另一个目录（替代 root 的拼接逻辑）。真正实现“隐藏真实物理路径”的关键，是**避免把敏感路径暴露在响应头、错误页面、目录索引或日志中**，并配合正确的权限与配置策略。
理解 alias 与 root 的核心区别
alias 会**完全替换**匹配的 location 前缀，而 root 是做路径拼接。这是安全映射的基础：
-
location /static/ { alias /data/web/assets/; }→ 请求/static/js/app.js对应文件/data/web/assets/js/app.js -
location /static/ { root /data/web; }→ 同样请求对应的是/data/web/static/js/app.js（多了一层static）
用 alias 可以把真实路径（如 /data/web/assets/）从 URL 结构中解耦，使外部无法通过 URL 推测服务器内部布局。
禁止目录浏览和敏感文件访问
即使用了 alias，若未关闭自动索引或放行了 .git/.env 等文件，真实路径仍可能被间接暴露：
- 添加
autoindex off;（默认就是 off，但显式声明更稳妥） - 用
location ~ \.(git|env|log|conf|ini|sh)$ { deny all; }阻止访问配置类、日志类、脚本类文件 - 确保
alias指向的目录**不包含可执行脚本或可读敏感配置**（Nginx 默认不执行 PHP，但若搭配 FastCGI，需额外限制）
避免在错误响应中泄露路径信息
Nginx 默认的 404/500 错误页不会显示路径，但自定义错误页或开启 server_tokens off; 后仍需注意：
- 设置
server_tokens off;防止响应头泄露 Nginx 版本 - 不要在自定义 error_page 内容中硬编码或 echo 真实路径（比如用 $document_root）
- 检查日志格式：确保
log_format不记录 $document_root 或 $realpath_root 等变量
配合权限与部署流程加固
Alias 只是映射层，真正的路径隐藏依赖系统级控制：
- 让 Nginx 工作进程用户（如
www-data）**仅有读取权限**，无权执行ls -l /data/web/assets/类操作 - 将真实资源目录（如
/data/web/assets/）放在/var/www之外，且不在 web 用户主目录下 - 使用符号链接时避免暴露源路径：用
ln -s /data/web/assets /var/www/static+alias /static/，比直接 alias 到深层路径更清晰，也便于审计
