disable_symlinks指令仅支持location或server块，不可置于http块中，因其依赖root/alias路径和URI上下文判断符号链接是否越界；启用时必须指定from=绝对路径，仅对Nginx自身文件读取操作（如alias、try_files）生效，对proxy_pass等反向代理无效。
直接启用 disable_symlinks 是防范符号链接逃逸最有效的内建手段之一，但它必须用对位置、配对路径、理解作用边界，否则形同虚设。
只能放在 location 或 server 块中
该指令**不允许出现在 http 块里**。Nginx 启动时会报错："disable_symlinks" directive is not allowed here。原因在于它需要结合具体的 root 或 alias 路径才能判断“是否越界”，而 http 块没有 URI 上下文和文件系统根路径信息。
- ✅ 正确写法（在 location 中）：
location /static/ {
alias /var/www/static/;
disable_symlinks on from=/var/www/static/;
}
- ❌ 错误写法（http 块中）：
http {
disable_symlinks on; <-- 报错
}
必须指定可信起点（from=）
仅写 disable_symlinks on; 不生效——Nginx 要知道“从哪开始算安全”。from= 后必须是绝对路径，且建议末尾带斜杠（尤其当目标为目录时），例如 from=/var/www/static/。
- 它会逐级解析请求路径中的所有符号链接，确保最终真实路径始终落在
from指定目录及其子目录内 - 若请求
/static/../etc/passwd且存在指向/etc/passwd的软链，Nginx 将拒绝并返回 403 - 路径不匹配、软链指向外部或解析失败，一律拦截
只保护 Nginx 自己读文件的行为
disable_symlinks 对以下场景**完全无效**：
- 反向代理类指令（
proxy_pass、fastcgi_pass、scgi_pass等） - PHP 或后端应用层调用的
file_exists()、readfile()等函数 - 日志写入、SSL 证书加载等非 URI 关联的文件操作
也就是说：它防的是 Nginx 在处理 alias、root、try_files 时被软链绕过目录限制，不是万能盾牌。
配合其他防护才真正可靠
单靠 disable_symlinks 不足以覆盖全部风险，需组合使用：
- 显式拒绝敏感路径：
location ~ /\.(ht|git|svn|bak|swp|conf)$ { deny all; } - 禁用目录索引：
autoindex off;防止列目录泄露 - 限制 URI 中的路径穿越特征：
location ~ /\.\./ { deny all; } - 严格控制静态目录权限：
chown -R nginx:nginx /var/www/static/+chmod 755目录、644文件 - 如环境支持，搭配容器隔离或
chroot运行进一步收窄攻击面
