Nginx 主配置文件中的 user 指令如何配置非 root 用户运行

在 nginx.conf 全局块最顶部配置 user 指令（如 user nginx nginx;），可使 Worker 进程以非 root 用户运行，Master 进程仍以 root 启动；该用户需提前创建为无登录权限的系统用户，并赋予必要文件访问权限，再通过 ps 命令验证进程身份分离，最后结合 systemd、SELinux 等机制实现纵深防御。

直接在 nginx.conf 全局块（main context）最顶部写一行 user 指令，指定非 root 用户和组，就能让 Worker 进程降权运行——Master 进程仍以 root 启动，不受影响。

必须放在配置文件最开头

user 指令只能出现在 events 块和 http 块之前，也就是整个配置文件的最外层、最上方。放错位置会报错："user" directive is not allowed here。

1. 正确位置示例：

user nginx nginx;
events { ... }
http { ... }

1. 不能写在 http、server 或 location 块内部
2. 不能省略——未配置时部分系统回退为 nobody，行为不可靠
3. 禁止写成 user root root;，这会让 Worker 也以 root 运行，失去安全意义

用户必须真实存在且无登录能力

Worker 进程会切换到该用户身份运行，所以这个用户得提前创建，并限制其系统权限。

1. 推荐用系统命令创建专用用户：

sudo useradd -r -s /sbin/nologin -d /var/www nginx

1. -r 表示创建系统用户；-s /sbin/nologin 禁止登录；-d 指定家目录（可选但建议）
2. 确保该用户对 根目录、日志目录、缓存目录有对应读写权限，但不赋予 shell 或 sudo 权限
3. SSL 私钥等敏感文件仍由 root 拥有，权限设为 600，Worker 用户不可读

验证是否真正生效

改完配置重启 Nginx 后，用系统命令确认 Master 和 Worker 的实际运行身份是否分离。

1. 查看进程用户归属：

ps aux | grep nginx

1. 应看到一行 root 开头的 master process，多行 nginx（或你指定的用户名）开头的 worker process
2. 更清晰的方式：

ps -o pid,user,group,comm -C nginx

1. 检查 Worker 是否能正常访问资源，例如模拟执行：

sudo -u nginx ls -l /var/www/html/index.html

1. 应能读取，但不能写入；若报“Permission denied”，说明权限设置过严，需微调目录属组或权限位

配合其他机制才真正安全

仅靠 user 指令不够，需结合操作系统级防护形成纵深防御。

1. 若用 systemd 管理，保留 User=root 在 service 文件中保障 Master 启动，同时通过 AmbientCapabilities=CAP_NET_BIND_SERVICE 让 Master 只保留绑定端口能力，剥离其他 root 权限
2. 启用 SELinux 时，确保 Nginx 进程运行在 httpd_t 域，必要时用 semanage fcontext 标记自定义路径
3. 禁用高危模块如 autoindex、ssi，关闭 server_tokens，防止信息泄露暴露版本或架构