SSL证书私钥文件权限必须为600，因私钥是服务器“数字指纹”，644等更高权限会导致同组或任意用户读取，引发中间人攻击等风险，等保2.0、GDPR等合规标准均强制要求仅属主可读写。
SSL 证书私钥文件（ssl_certificate_key）权限过高是安全合规审计中高频失败项——不是“能不能用”，而是“符不符合最小权限原则”。常见扫描工具（如 Trivy、OpenSCAP、等保测评工具）会直接将 644、664 甚至 755 的私钥文件判定为高危项，一票否决。
为什么 600 是硬性门槛？
私钥本质是身份凭证，等同于服务器的“数字指纹”。只要被非属主读取，就可能被用于中间人攻击、HTTPS 流量解密或冒名签发。所有主流合规标准（等保2.0、GDPR、HIPAA、PCI DSS）均明确要求：私钥文件必须仅对属主可读写（即 600），禁止组或其他用户访问。权限设为 644 意味着同组用户或任意用户都可读取，已构成实质性泄露风险。
Nginx 配置中常被忽略的权限陷阱
很多人只改了 Nginx 配置里的路径，却忘了验证文件系统层面的权限：
- 即使配置正确，若
/etc/nginx/ssl/mykey.key实际权限是-rw-r--r--（644），Nginx 启动时虽能加载，但审计工具会直接报“私钥 world-readable” - Docker 镜像内尤其危险：COPY 进去的私钥默认继承构建用户权限，常为
644；若未显式chmod 600，镜像一运行就违规 - 使用
include引入密钥路径时，若该文件由外部挂载（如 Kubernetes Secret 卷），需确认挂载后属主和权限是否仍为root:root 600或 Nginx 工作用户所需权限
三步落地：从构建到运行全程可控
别依赖“上线后再修”，把权限控制嵌入交付链路：
-
构建阶段：Dockerfile 中 COPY 后立即降权
RUN chmod 600 /etc/nginx/ssl/*.key && chown root:root /etc/nginx/ssl/*.key -
启动校验：在 entrypoint.sh 开头加入强制检查
[[ -f /etc/nginx/ssl/mykey.key ]] && [[ $(stat -c "%a" /etc/nginx/ssl/mykey.key) == "600" ]] || { echo "ERROR: ssl_certificate_key perm not 600"; exit 1; } -
运行加固：Nginx 配置中指定用户，并禁用特权提升
user nginx;+ 容器启动参数--security-opt=no-new-privileges:true
附：快速自查命令
进入容器或服务器后，执行以下命令确认关键私钥状态：
-
ls -l /etc/nginx/ssl/*.key—— 查看权限与属主 -
stat -c "%U:%G %a %n" /etc/nginx/ssl/*.key—— 输出标准化格式，便于脚本比对 -
nginx -t && nginx -T 2>/dev/null | grep ssl_certificate_key—— 确认配置引用路径无误
