Nginx 中 SSL 证书如何设置正确的私钥文件访问权限保障安全

私钥文件权限必须设为600、属主为root，并存放于Web不可访问路径（如/etc/nginx/ssl/），禁止使用宽松权限或置于Nginx映射目录；目录权限需设为700，配置中须用绝对路径引用且禁用密码保护。

私钥文件权限设为 600、属主为 root，并放在 Web 无法访问的路径（如 /etc/nginx/ssl/），是保障 Nginx SSL 安全最基础也最关键的一步。配置指令本身不决定安全，真正起作用的是私钥所处的运行环境。

私钥必须存放在隔离路径

不能放在任何被 Nginx root、alias 或 location 映射到 HTTP 请求的目录下，例如：

1. /var/www/、/usr/share/nginx/html/
2. 面板自动生成的站点目录（如宝塔的 /www/wwwroot/）

推荐路径：/etc/nginx/ssl/ 或 /etc/ssl/private/。这两个位置默认不在 Web 可达范围内，且系统策略通常已限制普通用户访问。

验证方式：在浏览器中直接请求私钥 URL（如 https://yoursite.com/ssl/example.key），应返回 403 Forbidden 或 404 Not Found；若返回 200 并显示内容，说明路径暴露，需立即迁移。

文件权限必须严格为 600

私钥文件（如 /etc/nginx/ssl/example.com.key）只允许 root 用户读写，其他用户和组不可读、不可写、不可执行：

1. 执行命令修复：chmod 600 /etc/nginx/ssl/example.com.key
2. 确认属主：chown root:root /etc/nginx/ssl/example.com.key

禁止使用 644、664、755 等宽松权限——PHP 脚本、CGI 程序或普通用户可能借此读取私钥，导致 HTTPS 流量被解密或服务器身份被冒用。

注意：生成私钥时避免用 umask 002，否则新文件默认可能是 640，属于高危配置。

父目录权限也要同步收紧

即使私钥文件权限正确，若其所在目录权限过宽（如 755），攻击者仍可能遍历目录、替换文件或创建符号链接绕过检查。

1. 若私钥放在 /etc/ssl/private/，请同时执行：

   chmod 700 /etc/ssl/private/

   chown root:root /etc/ssl/private/

2. 目录需保留可执行（x）权限，否则 Nginx 主进程无法进入读取；但仅限 owner，组和其他人不可列目录内容。

Nginx 配置中正确引用且禁用密码保护

ssl_certificate_key 必须使用绝对路径指向私钥文件，不能用相对路径或软链接：

1. 正确写法：ssl_certificate_key /etc/nginx/ssl/example.com.key;
2. 严禁加密私钥（如用 openssl rsa -aes256 加密），Nginx 启动或 reload 时无法自动输入密码，会导致服务中断。
3. 已有带密码私钥，应先解密：openssl rsa -in domain.key.encrypted -out domain.key

自动化续期脚本（如 Certbot）务必在更新后强制校验权限：

chmod 600 /etc/nginx/ssl/*.key && chown root:root /etc/nginx/ssl/*.key