Nginx 通过 user 指令实现 Master/Worker 权限分离：Master 以 root 运行绑定端口，Worker 降权为指定非特权用户（如 appuser），需在 main context 顶部配置、创建无登录用户、最小化目录与文件权限，并用 ps 验证生效。
Master 进程必须以 root 启动，才能绑定 80/443 等特权端口、读取 SSL 私钥、加载配置并管理 Worker；而真正处理 HTTP 请求的 Worker 进程，应严格降权运行——user 指令正是实现这一权限分离的核心机制。
正确配置 user 指令的位置与语法
该指令必须写在 nginx.conf 的全局块（main context）最顶部，在 events 块之前，否则不生效：
-
user www-data www-data;（Debian/Ubuntu 默认） -
user nginx nginx;（RHEL/CentOS 默认） -
user appuser appgroup;（自定义专用用户，推荐）
注意：不能写成 user root root;，也不能留空——未配置时部分系统会回退为 nobody，行为不可靠且不安全。
确保目标用户真实存在且权限最小化
Worker 进程将切换到该用户身份运行，因此需提前创建专用系统用户，并限制其能力：
- 创建无登录能力的用户：
useradd -r -s /sbin/nologin -d /var/www appuser - 仅赋予必要路径权限：对网站根目录（如
/var/www/html）设为755，属主为root，属组为appuser；文件设为644 - 对日志目录（如
/var/log/nginx）和临时目录（如/var/cache/nginx）设为750，属主和属组均为appuser - SSL 私钥文件（如
/etc/ssl/private/example.key）权限必须为600，属主为root，appuser不可读
验证降权是否真正生效
配置后重启 Nginx，用系统命令确认实际运行身份：
-
ps aux | grep nginx：应看到一行root开头的master process，以及多行appuser（或你指定的用户）开头的worker process -
ps -o pid,user,group,comm -C nginx：可清晰区分 Master（PPID 通常为 1）和 Worker（PPID 为 Master PID） -
sudo -u appuser ls -l /var/www/html/index.html：模拟 Worker 用户访问，确认可读但不可写
配合操作系统级权限加固
仅靠 user 指令不够，需协同系统机制形成纵深防御：
- 若启用 SELinux（RHEL/CentOS），确保 Nginx 进程运行在
httpd_t域，用semanage fcontext添加自定义路径策略 - 若使用 systemd 启动，可在
/usr/lib/systemd/system/nginx.service中保留默认User=root（保障 Master 启动），同时通过AmbientCapabilities=CAP_NET_BIND_SERVICE配合setcap剥离 Master 的其他 root 能力 - 禁用危险模块（如
autoindex、ssi），关闭server_tokens，防止信息泄露
