Nginx的internal指令是路径隐身机制而非鉴权工具，需通过对外入口（如/download/）校验权限后，经auth_request、rewrite last或X-Accel-Redirect触发内部跳转至隐藏location（如/_private/），且alias路径必须严格对齐。

Nginx 的 internal 指令不是鉴权工具，而是“路径隐身机制”——它让某个 location 对外部请求彻底不可见，只响应 Nginx 自身发起的内部跳转。保护内部静态文件的关键，不在于加一行 internal，而在于构建“对外入口 + 对内透传”的两段式链路。

必须用两段 location 分离职责
不能把 internal 单独配在对外路径上，也不能让它和业务逻辑混在一起。正确结构是：

• 一个对外可见的入口（如 /download/），负责接收请求、校验权限、提取参数
• 一个对内隐藏的透传块（如 /_private/），只含 internal 和 alias 或 root，不做任何判断

三种可靠触发方式，选一种即可
外部请求要抵达 internal location，必须经过以下任一内部流程：

• auth_request /auth：由后端返回 2xx 后，Nginx 自动将主请求转入 internal 区域
• rewrite ... last：入口 location 中重写 URL，并用 last 触发重新匹配，命中 internal 块
• X-Accel-Redirect 响应头：后端返回 X-Accel-Redirect: /_private/file.pdf，Nginx 自动内部跳转并读取文件

alias 路径必须严格对齐
这是最常出错的地方：

• 若 location /_private/ { internal; alias /data/files/; }，则请求 /_private/report.pdf 会映射到 /data/files/report.pdf
• 如果漏掉 location 末尾的 /，或 alias 末尾少 /，路径拼接就会错位，可能读到错误文件甚至越界

禁止这些写法

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

• 把 internal 放在 server 或 http 块里 → 不生效
• 在 internal location 中配置 proxy_pass 到不可信服务 → 可能被绕过
• 用 rewrite ... redirect（302）代替 last → 浏览器重发请求，变成外部直连
• 对 internal location 使用 root 时没考虑拼接逻辑 → /_private/a.pdf 会去找 /data/_private/a.pdf，而非预期位置

额外加固建议

• /auth 子请求 location 也必须加 internal，防止攻击者跳过主入口直调鉴权接口
• 下载链接加入时间戳 + HMAC 签名，服务端校验时效与完整性
• 配合 limit_except 限制 HTTP 方法，例如只允许 GET 和 HEAD

不复杂但容易忽略。