Nginx配置文件只读保护需权限控制、路径约束与运行时防护协同：主配置文件应root所有、权限640；conf.d目录设750并禁用符号链接；全局添加location ~ /. { deny all; }防止HTTP泄露；备份文件须同权限管理，且禁止include通配泛加载。
实现 Nginx 配置文件的只读保护，核心不是“让文件不可写”，而是确保只有授权主体能修改、且运行时无法被意外覆盖或绕过加载。真正的安全在于权限控制、路径约束与运行时防护三者协同。
主配置文件权限与归属必须严格限定
主配置文件（如 /etc/nginx/nginx.conf）应始终由 root 所有，组属也设为 root；权限推荐 640（即 rw-r-----），禁止其他用户读取或写入。工作进程（如 nginx 或 www-data 用户）只需读权限，绝不需执行权 —— 给 .conf 文件加 +x 不仅无效，还可能干扰审计或暴露运维结构。
- 执行命令：
chown root:root /etc/nginx/nginx.conf&chmod 640 /etc/nginx/nginx.conf - 备份文件（如
nginx.conf.bak、~、.swp）必须一并清理或设为相同权限，否则可能被include指令意外加载 - 若使用容器部署，确保挂载的配置文件在宿主机上已设好权限，且容器内以非 root 用户运行时仍能读取（可通过组权限或
fsGroup控制）
限制子配置加载路径与方式
include 是风险高发点。默认的 include /etc/nginx/conf.d/*.conf; 若目录权限宽松（如 777）、允许符号链接或支持递归匹配（如 **.conf），就可能被利用注入恶意配置。
- 将 /etc/nginx/conf.d/ 目录权限设为 750（
rwxr-x---），确保工作进程可进入但其他用户不可列目录 - 禁用符号链接：编译时启用
--without-http-symlinks，或在挂载/etc/nginx所在分区时使用noexec,nosuid,nodev选项 - 避免通配符泛加载；改用显式列表，例如：
include /etc/nginx/conf.d/site-a.conf;include /etc/nginx/conf.d/site-b.conf;
运行时防止配置被动态篡改或泄露
只读保护不仅针对磁盘文件，还需阻断运行中被覆盖、调试访问或 HTTP 泄露等途径。
- 在 Nginx 配置中加入全局 location 规则，屏蔽所有以点开头的文件和目录：
location ~ /\. { deny all; }，防止通过 URL 直接请求/etc/nginx/nginx.conf等敏感路径 - 不建议将配置文件移到 Web 根目录下（如
/var/www/nginx/），即使加了访问控制，也增加误配风险；保持默认位置 + 权限管控更可靠 - 修改配置前强制校验：使用
nginx -t测试语法，再用nginx -s reload生效；避免直接覆盖后重启，导致服务中断
加固后的验证要点
完成设置后，需确认三点是否闭环：
- 普通用户执行
ls -l /etc/nginx/nginx.conf应显示-rw-r----- 1 root root，且无法cat或vim编辑 - 工作进程用户（如
nginx）能成功读取主配置及conf.d/下的子配置（可用sudo -u nginx nginx -t模拟验证） - 尝试在
conf.d/中创建软链接指向恶意配置、或放入test.conf.bak，确认 Nginx 启动或重载时不加载它们
