静态资源路径配置错误可能导致敏感文件泄露。Nginx中root与alias混淆、FastAPI StaticFiles挂载点不当、Web进程权限过高及框架默认行为疏忽，均可能使/etc/passwd等高危文件被非法访问。
静态资源路径配置错误在 Linux 环境中不只是“404 找不到文件”那么简单——它可能直接打开系统敏感文件泄露的大门。尤其当 Web 服务（如 Nginx、Apache 或 FastAPI 的 StaticFiles）被不当挂载或权限失控时，攻击者可通过构造 URL 遍历路径，意外读取 /etc/passwd、/etc/shadow、/root/.bash_history 甚至 Git 凭证文件等高危内容。
一、Nginx 中 root 与 alias 的致命混淆
Nginx 是最常见的“误配即泄密”场景。关键区别在于：
-
root：拼接路径 ——
location /static/ { root /var/www; }→ 请求/static/etc/passwd会实际访问/var/www/static/etc/passwd -
alias：替换路径 ——
location /static/ { alias /var/www/static/; }→ 同样请求只映射到/var/www/static/下，不会向上逃逸
若错误使用 root 指向根目录（如 root /;）或父级目录（如 root /home;），再配合宽松的 autoindex on，就等于把整个磁盘目录树暴露在 HTTP 下。
二、FastAPI StaticFiles 的危险挂载点
FastAPI 虽轻量，但 app.mount() 若指向不当目录，风险同样真实：
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
- 禁止将
directory设为"/"、"/etc"、".."或用户主目录（如"/home/alice"） - 避免使用相对路径未校验（如
directory="../"），尤其在容器或 CI 环境中，工作目录易变 - 启用
check_dir=False会跳过启动时路径存在性检查，掩盖配置错误，不建议生产环境关闭
示例错误：app.mount("/files", StaticFiles(directory="/"), name="sysroot") → 访问 /files/etc/shadow 即可下载。
三、Linux 文件权限与 Web 进程身份协同失守
即使路径配置正确，若 Web 服务进程（如 www-data、nginx 或 appuser）拥有过高读取权限，仍可能越权访问：
- 确认 Web 进程运行用户对静态目录仅有最小必要读取权限（如
chmod 750 /var/www/static，chown root:www-data /var/www/static） - 严禁将敏感文件（如
~/.git-credentials、~/.my.cnf）放在 Web 可达路径下，哪怕只是同级目录 - 检查
/etc/passwd中 Web 用户的 shell 是否为/usr/sbin/nologin，禁用交互式登录
四、开发框架默认行为的隐性风险
Spring Boot、Django、Flask 等框架常有“静态资源自动托管”机制，容易被忽视：
- Spring Boot 的
resources/static/默认公开；若开发者误将application-prod.yml放在此目录，会被直接下载 - Django 的
STATIC_ROOT若指向/var/www而未清理残留文件，旧备份（如.git/、config.bak）可能被索引 - 任何框架中，禁用目录浏览（
autoindex offin Nginx，html=Falsein StaticFiles）是基础防线
修复建议：上线前执行一次人工路径探测，例如尝试访问 /static/../etc/passwd、/static/..%2fetc%2fpasswd（URL 编码绕过），验证是否返回 403 或 404。
