Nginx 如何在目录结构中通过权限隔离防止普通用户查看配置文件密码

最根本有效的防护是将密码文件（如.htpasswd）置于Web不可访问路径并严格限制系统权限：存于/etc/nginx/等非Web根目录，设chmod 600、chown root:root，Nginx配置中禁用autoindex并deny所有.ht开头及.key/.pem/.conf等敏感后缀请求。

Nginx 本身不直接“读取”或“暴露”配置文件中的密码，真正需要防范的是：配置文件里引用的密码文件（如 .htpasswd）被 Web 请求意外访问到，或者私钥、认证文件因系统权限设置不当被普通用户读取。所谓“目录结构中通过权限隔离”，核心不是靠 Nginx 配置本身加密，而是靠文件系统权限 + 路径设计 + Nginx 运行上下文协同控制。

以下四点是实际有效且必须同步落实的关键措施：

1. 密码文件绝不放在 Web 可访问路径下

   .htpasswd 文件必须存放在 Nginx 配置能引用、但 HTTP 请求无法抵达的位置。例如：

   ✅ 推荐路径：/etc/nginx/.htpasswd-admin 或 /usr/local/nginx/conf/auth/

   ❌ 危险路径：/var/www/html/.htpasswd、/usr/share/nginx/html/.htpasswd（浏览器访问 https://site/.htpasswd 可能直接下载明文）

2. 严格限制密码文件的系统权限

   Nginx 主进程以 root 启动，工作进程通常以 www-data 或 nginx 用户运行。密码文件只需对 root 可读：

   chmod 600 /etc/nginx/.htpasswd-adminchown root:root /etc/nginx/.htpasswd-admin

   禁止 644、664、755 等权限——这些会让同服务器上的 PHP 脚本、Shell 用户甚至 CGI 程序轻易读取。

3. Nginx 配置中禁用 autoindex，并显式拒绝敏感路径

   即使密码文件不在 Web 根目录，也要防误配导致暴露：

   # 全局禁止目录列表（防意外暴露）server {autoindex off;# 显式拦截所有以 .ht 开头的文件location ~ /.ht {deny all;}# 拦截常见敏感后缀location ~ /.(key|pem|conf|passwd|htaccess|htpasswd)$ {deny all;}}

4. 确保 Nginx worker 进程无权访问密码文件所在目录

   若你为不同目录配置了不同 .htpasswd（如 /etc/nginx/auth/internal.passwd 和 /etc/nginx/auth/public.passwd），应让这些文件所在目录权限也为 700：

   mkdir -p /etc/nginx/authchmod 700 /etc/nginx/authchown root:root /etc/nginx/auth

   这样即使攻击者突破某个 PHP 应用获得 shell，也无法 ls /etc/nginx/auth/ 或 cat 里面的内容。

不复杂但容易忽略——真正的隔离不在 Nginx 的 location 里写多少规则，而在于把密码文件“锁进抽屉”，再把抽屉钥匙只交给 root。