推荐直接用包管理器安装Nginx（如apt/yum），避免源码编译；配置修改后须先nginx -t验证再systemctl reload nginx；HTTPS需配全证书链、TLS版本、cipher及OCSP stapling。
直接用包管理器装，别自己编译
绝大多数场景下，apt install nginx（Ubuntu/Debian）或 yum install nginx（CentOS/RHEL）就足够了。自己从源码编译不仅慢，还容易漏掉 systemd 服务配置、日志轮转、安全加固等默认集成项。
常见错误现象：nginx: command not found 装完却找不到命令——其实是没启用服务或 PATH 没刷新，不是没装上；Failed to start nginx.service 多因端口被占用或配置语法错，先跑 nginx -t 再启动。
-
apt update && apt install nginx后，服务默认已启用，但不会自动启动，需手动systemctl start nginx - 配置文件在
/etc/nginx/nginx.conf，站点配置通常放/etc/nginx/sites-enabled/，记得软链到sites-available/ - Ubuntu 22.04+ 默认监听
80和443，但防火墙可能拦着：用ufw allow 'Nginx Full'或检查iptables规则
改完配置必须 reload，不是 restart
systemctl restart nginx 会中断正在处理的请求，而 systemctl reload nginx 是平滑重载——新 worker 进程启动后，旧进程处理完手头请求再退出。线上服务尤其不能跳过这步。
容易踩的坑：reload 失败时，错误信息藏在 systemctl status nginx 或 journalctl -u nginx --since "1 hour ago" 里，不是只看终端返回的 “failed” 就完事。
- 每次改完
/etc/nginx/nginx.conf或子配置，必先nginx -t验证语法，再systemctl reload nginx - 如果 reload 报
bind() to 0.0.0.0:80 failed (98: Address already in use)，说明端口被其他进程占了，查ss -tulpn | grep ':80' - 修改了
worker_processes或worker_connections这类主配置项，必须restart，reload不生效
静态文件 403 Forbidden 的真实原因
不是权限设低了，就是 root 路径配错了。Nginx 默认以 www-data（Debian）或 nginx（RHEL）用户运行，它得有目录的执行权限（x），才能进入子目录；还得有文件的读权限（r），才能发出去。
典型现象：浏览器显示 403 Forbidden，但 curl -I http://localhost 返回 200 —— 很可能是 SELinux（RHEL/CentOS）或 AppArmor（Ubuntu）在拦截，不是文件权限问题。
- 确认
root指令指向的路径存在且可被 Nginx 用户访问：sudo -u www-data ls -l /var/www/html/ - 目录需有
rx权限（如755），文件需有r权限（如644）；chown -R www-data:www-data /var/www/html比盲目chmod 777安全得多 - RHEL 系统上，
setsebool -P httpd_read_user_content 1可放开对用户家目录的访问限制；Ubuntu 上检查aa-status是否启用 AppArmor 并限制了/usr/sbin/nginx
HTTPS 不是加个证书就行，得配全三件套
光扔个 ssl_certificate 和 ssl_certificate_key，浏览器大概率报“不安全连接”——缺中间证书（chain）、没开 HSTS、没禁用老旧协议。现代浏览器要求完整证书链 + TLS 1.2+ + 安全 cipher。
最容易被忽略的是证书链顺序：必须把域名证书放在最前，中间 CA 证书跟在后面，根证书不用放。顺序反了，iOS 和部分安卓设备会校验失败。
- 合并证书链：
cat example.com.crt intermediate.crt > fullchain.pem，然后在配置中用ssl_certificate fullchain.pem - 必须配
ssl_trusted_certificate（用于 OCSP stapling）和ssl_stapling on，否则 OCSP 查询失败会导致延迟或降级 - 禁用不安全协议：
ssl_protocols TLSv1.2 TLSv1.3；推荐 cipher：ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256
证书更新后，reload 前务必用 openssl s_client -connect yoursite.com:443 -servername yoursite.com -showcerts 看实际返回的证书链是否完整——这才是真实客户端看到的样子。
