Nginx 如何在 Nginx 中配置 SSL 证书私钥文件的最高安全权限防止越权读取

私钥文件权限必须设为600且属主属组均为root，存放于/etc/nginx/ssl/等Web不可达路径，父目录权限同步设为700，禁用密码保护，Nginx通过绝对路径引用；宽松权限或Web可访问路径将导致私钥泄露风险。

私钥文件权限必须设为 600，属主属组均为 root，且存放路径必须确保 Web 服务无法通过 HTTP 访问——这是防止越权读取的最核心防线。

私钥文件权限必须严格设为 600

私钥（.key 文件）是 TLS 握手中最敏感的资产，任何非 root 用户可读都会导致身份冒用或流量解密：

1. 执行命令：sudo chmod 600 /etc/nginx/ssl/example.com.key
2. 同步属主：sudo chown root:root /etc/nginx/ssl/example.com.key
3. 验证效果：ls -l /etc/nginx/ssl/example.com.key 应显示 -rw-------，无 group 或 other 位权限
4. 禁止使用 644、755、664 等宽松权限——即使 Nginx 启动成功，也等于将服务器身份暴露给 PHP、CGI 或普通用户进程

存放路径必须隔离于 Web 可达范围

Nginx 不会主动检查路径安全性，但操作系统和 URL 路由决定了风险是否真实存在：

1. 推荐路径：/etc/nginx/ssl/ 或 /etc/ssl/private/（默认不被任何 root 或 alias 指令映射）
2. 绝对禁止路径：/var/www/、/usr/share/nginx/html/、/home/xxx/、/tmp/ 等可能被 HTTP 请求解析到的位置
3. 验证方式：在浏览器中访问 https://your.site/ssl/example.com.key，必须返回 403 Forbidden 或 404 Not Found，绝不能返回私钥内容

父目录权限需同步收紧至 700

仅保护私钥文件本身不够，目录遍历权限同样关键：

1. 执行命令：sudo chmod 700 /etc/nginx/ssl/
2. 同步属主：sudo chown root:root /etc/nginx/ssl/
3. 700 表示仅 owner（root）可读、写、执行；group 和 others 完全无权限
4. 目录的执行权限（x）是必需的（否则 Nginx 主进程无法进入并读取文件），但必须严格限制作用域

配置与运行环境必须匹配

权限设置后，还需确保 Nginx 实际能加载，同时杜绝其他绕过风险：

1. ssl_certificate_key 必须使用绝对路径，例如：ssl_certificate_key /etc/nginx/ssl/example.com.key;
2. 禁用私钥密码保护——Nginx 无法交互输入，会导致 reload 失败或服务中断
3. 若 Nginx 非 root 运行（如 worker 以 www-data 启动），需额外授权：sudo setfacl -m u:www-data:r /etc/nginx/ssl/example.com.key，而非放宽全局权限
4. 私钥严禁提交到 Git、CI/CD 构建上下文或共享存储；生产环境应通过密钥管理服务（如 HashiCorp Vault）注入

不复杂但容易忽略