需结合Nginx internal指令与try_files、rewrite last或error_page实现后端资源内部访问限制：一、internal+try_files用于静态资源授权分发；二、rewrite last+internal支持动态路径保护；三、error_page+internal实现权限拦截后透传；四、ThinkPHP需协同校验internal路径有效性。
如果您在部署ThinkPHP应用时希望限制某些后端资源仅能通过Nginx内部跳转访问（例如鉴权后透传的文件、代理接口或临时生成路径），而禁止客户端直接请求该路径，则需结合internal指令与try_files、rewrite ... last或error_page等内部重定向机制实现。以下是具体配置方法：
一、使用 internal 配合 try_files 实现受控资源访问
internal指令必须置于location块内，且该location不可被外部直接访问；try_files可触发内部重定向至该internal位置，从而完成资源的有条件透传。此方式适用于静态资源授权分发场景。
1、在server块中定义一个内部专用location，路径为/internal-files/，并添加internal指令。
2、确保该location的root或alias指向实际文件存储目录，例如/var/www/thinkphp/runtime/download/。
立即学习“PHP免费学习笔记（深入）”；
3、在用户可访问的入口location（如/download/）中，使用try_files将请求按规则转发：先检查缓存文件是否存在，若不存在则内部跳转至/internal-files/路径。
4、在/internal-files/ location中配置internal，并设置alias精确映射到目标目录，避免路径遍历风险。
二、通过 rewrite last + internal 实现动态路径保护
当ThinkPHP需根据路由参数动态生成内部资源路径（如带token签名的临时下载链接）时，可利用rewrite ... last触发内部重定向，再由internal location承接并校验合法性。此方式要求rewrite目标必须是标记为internal的location，且不能含scheme或host。
1、在server块中定义location ~ ^/protected/.*$，内部执行rewrite操作，目标为/_internal_proxy。
2、在rewrite语句末尾明确添加last标志，确保Nginx将其视为内部跳转而非外部重定向。
3、新增location = /_internal_proxy，并在其中写入internal指令。
4、在/_internal_proxy location中配置alias或root，并启用fastcgi_pass或proxy_pass对接后端服务（如ThinkPHP的DownloadController）。
三、结合 error_page 与 internal 实现权限拦截后透传
利用error_page将非授权请求重定向至内部location，再由internal location统一处理响应，可解耦鉴权逻辑与资源交付。此方式适合与子请求（subrequest）配合，例如调用独立鉴权服务返回403后触发内部跳转。
1、在用户可访问的location（如/api/protected/）中配置error_page 403 = @auth_failed。
2、定义命名location @auth_failed，其中不包含internal，仅用于中间跳转。
3、在@auth_failed中使用rewrite ^(.*)$ /_internal_authed$1 last，将URI重写为内部路径前缀。
4、定义location ^~ /_internal_authed/，并在此块中添加internal指令及对应alias或proxy_pass配置。
四、在ThinkPHP入口层协同控制 internal 路径有效性
仅靠Nginx的internal指令无法验证请求上下文（如用户身份、时效性），需在ThinkPHP控制器中对_internal_authed类路径做二次校验。Nginx仅提供通道隔离，业务逻辑仍需框架层保障。
1、在Nginx配置中将/_internal_authed/ location设为internal，并proxy_pass至本地FastCGI监听地址（如127.0.0.1:9000）。
2、确保该proxy_pass请求携带原始URI（通过fastcgi_param REQUEST_URI $request_uri）。
3、在ThinkPHP中编写InternalAuthedController，解析REQUEST_URI中的签名参数，执行token校验与过期判断。
4、校验失败时直接返回404或403，成功则读取对应资源并输出，此时Nginx不会暴露真实文件路径，且外部无法绕过鉴权直接访问/internal-authed/。
