Nginx默认禁止跟随软链接，需在location块中配置disable_symlinks off并配合alias使用，确保Nginx用户对软链接及其目标路径有足够权限，否则返回403或404。
Nginx 本身不直接解析软链接（symbolic links）来访问目标文件，除非显式启用相关安全控制。在处理大规模静态资源时，若依赖软链接映射（例如将 /var/www/static/v2 软链到 /data/releases/20260612），必须主动配置 Nginx 允许并安全地使用软链接，否则会返回 403 Forbidden 或 404 Not Found。
启用软链接支持：disable_symlinks 是关键
Nginx 默认禁止跟随软链接，防止路径遍历攻击。要让 location 块能正确读取软链接指向的真实路径，需在对应 location 中启用 `disable_symlinks off`，且确保父目录有足够权限：✅ 正确配置示例：
location /static/ {
alias /data/releases/current/;
disable_symlinks off;
expires 1y;
add_header Cache-Control "public, immutable";
}
⚠️ 注意事项：
-
disable_symlinks 必须与
alias或root同级，且仅对当前 location 生效 - 不能写在 server 或 http 块顶层 —— 安全策略要求最小权限原则
- 软链接目标路径（如
/data/releases/20260612）必须由 Nginx 工作用户（如www-data或nginx）可读 - 软链接本身（如
/data/releases/current）所在目录也需对该用户有执行（x）权限，否则无法进入
软链接 + alias 是推荐组合
当用软链接做版本切换（如current → v2.3.1）时，配合 alias 比 root 更清晰、更可控：
? 使用 alias：
location /static/ {
alias /data/releases/current/;
disable_symlinks off;
}
→ 请求 /static/js/app.js 直接映射到 /data/releases/current/js/app.js，无论 current 指向哪个真实目录。
❌ 避免用 root + 软链接根目录：
location /static/ {
root /data/releases;
}
→ 实际查找路径变成 /data/releases/static/js/app.js，软链接必须放在 /data/releases/static 下才有效，语义混乱且易出错。
权限与部署协同要点
软链接映射在生产中常用于灰度发布或零停机更新，但需配套运维保障：- 创建软链接时用绝对路径：
ln -sf /data/releases/20260612 /data/releases/current（避免相对路径失效） - Nginx 用户对
/data/releases目录要有rx权限（进入+列表），对目标 release 目录要有r-x权限 - 建议搭配
try_files $uri =404，避免因软链接未就绪导致 403/404 混淆 - 日志中若出现
open() "/xxx" failed (13: Permission denied)，优先检查软链接路径的逐级目录权限，而非链接本身
替代方案：用 upstream + rewrite（适合更复杂场景）
若软链接管理成本高，或需按请求特征路由（如按 URL 参数选版本），可考虑：map $arg_v $release_path {
default "/data/releases/current/";
"v2" "/data/releases/v2.3.1/";
"v3" "/data/releases/v3.0.0/";
}
location /static/ {
alias $release_path;
disable_symlinks off;
}
这样既规避了软链接操作，又保留了灵活的资源路径切换能力。
