location隐藏目录结构的核心是拦截请求、重写路径、拒绝访问或代理转发，从而切断客户端与物理目录的直接映射关系；常见方式包括deny all禁止访问、internal限制内部调用、rewrite映射无语义接口、proxy_pass反向代理隐藏后端路径。
用 location 隐藏目录结构，核心是**不让用户通过 URL 直接看到或访问真实目录路径**，常见于 Nginx（Apache 中对应的是 <Location> 或 <Directory>，但实际生产中更常用 location 块在 Nginx 中实现）。它的本质不是“删除目录”，而是**拦截请求、重写路径、拒绝访问或代理转发**，从而切断客户端与物理目录的直接映射关系。
禁止直接访问敏感目录（返回 404 或 403）
这是最常用也最直接的方式：匹配 URL 路径，明确拒绝访问。
- 在 Nginx 配置中添加：
location ^~ /uploads/ {
deny all;
}
-
^~表示前缀匹配且优先级高，避免被正则规则覆盖； -
deny all让所有外部请求都收到 403 Forbidden； - 这样即使 URL 写成
/uploads/config.php，也不会暴露文件是否存在，更不会下载内容。
用 location + internal 限制内部调用
适用于需要脚本读取上传文件，但又不允许浏览器直连的场景（如 PHP 下载接口）。
- 配置示例：
location /download/ {
internal;
alias /var/www/uploads/;
}
-
internal表示该 location 只能被 Nginx 内部指令（如rewrite ... last、error_page或try_files）触发； - 浏览器直接访问
/download/abc.pdf会返回 404； - 但 PHP 脚本中用
header("X-Accel-Redirect: /download/abc.pdf");就能安全触发下载，真实路径完全不暴露。
用 location 重写为无路径语义的接口
把带目录特征的 URL 映射成干净、不可推断的路由，配合后端逻辑解析。
- 例如隐藏
/static/css/app.css的真实位置：
location /res/ {
rewrite ^/res/(.*)$ /api/asset?id=$1 break;
}
- 用户访问
/res/12345，实际由/api/asset接收； - 后端根据
id=12345查数据库获取真实路径（如/opt/assets/v2.3.1/css/main.min.css），再读取并输出； - URL 不含目录层级，无法反推服务器结构，也不依赖文件系统路径暴露。
用 location + proxy_pass 隐藏后端存储路径
借助反向代理，将请求转发到另一个不对外公开的服务地址，彻底隔离物理路径。
- 配置示例：
location /files/ {
proxy_pass http://file-service/internal/;
proxy_set_header Host $host;
}
- 前端请求
/files/report2026.pdf； - Nginx 转发给内部服务
http://file-service/internal/report2026.pdf； - 该内部服务可部署在非标准端口、仅监听 127.0.0.1，甚至运行在另一台机器上；
- 真实文件可能存于
/mnt/nas/docs/，但客户端永远看不到。
