静态资源服务权限细粒度划分的核心是“路径即权限单元”，通过Nginx原生指令按URL路径分层设防：以location为基础实现路径匹配隔离，用internal+X-Accel-Redirect隐藏私有资源，叠加限流/防盗链/安全头等策略，并协同系统级文件权限保障落地安全。
静态资源服务的权限细粒度划分，核心在于“路径即权限单元”——不是按文件类型粗放控制，而是把每个 URL 路径当作独立策略容器，结合 Nginx 原生指令分层设防，不依赖后端、不引入额外模块，就能实现精准放行与严格拦截。
按路径匹配做第一层隔离
location 是权限划分的基石。前缀匹配、正则匹配和修饰符（如 ^~、=、~*）决定了策略生效范围：
-
精确匹配敏感管理路径：如
location = /admin/api/health { deny all; }，用=避免被更宽泛规则覆盖 -
前缀匹配上传目录：如
location ^~ /uploads/ { allow 10.0.2.0/24; deny all; }，确保内网调用不受正则干扰 -
正则屏蔽高危后缀：如
location ~* \.(bak|conf|log|swp|env)$ { deny all; }，覆盖常见备份与配置类文件 -
拒绝隐藏文件访问：统一加
location ~ /\. { deny all; }，拦住/.git/config、/.htaccess等
用 internal + X-Accel-Redirect 控制资源可达性
对真正私有资源（如用户头像、合同 PDF），不能只靠 Referer 或 Token 拦截——客户端可伪造。必须让资源本身“不可直达”：
- 配置
location /private/ { internal; alias /data/private/; }，此时直接访问/private/report.pdf会返回 404 或 403 - 后端鉴权通过后，返回响应头
X-Accel-Redirect: /private/report.pdf，Nginx 内部静默读取并吐出文件，零带宽经过应用层 - 该机制天然支持登录态、角色、时效等复杂判断，且不暴露真实路径
差异化叠加策略形成纵深防护
同一路径可同时施加限流、防盗链、响应头加固等多层策略，互不冲突：
-
防盗链仅针对图片/JS/CSS：
valid_referers none blocked *.example.com;+if ($invalid_referer) { return 403; }，允许直接输入 URL 访问（none），但拒绝跨站嵌入 -
登录接口限流防爆破：
location = /login { limit_req zone=auth burst=3 nodelay; } -
静态资源关闭危险响应头：
add_header X-Content-Type-Options nosniff; add_header X-Frame-Options DENY; -
限制 HTTP 方法：
limit_except GET HEAD { deny all; }，比if ($request_method != GET)更安全可靠
系统级权限协同保障落地安全
Nginx 的配置再严，若操作系统层面权限失控，仍可能越权读写：
- 确认 worker 进程实际运行用户（如
www-data或nginx），用ps aux | grep nginx验证 - 静态根目录设为
750（属主可读写执行，属组只读执行，其他无权），文件设为640 - 上传目录需属组可写（
g+w），但禁用 PHP 解析：location ~ \.php$ { deny all; } - 上级路径每级都必须有
x权限，否则 Nginx 无法进入子目录读取文件 - 严禁将代码、配置、证书等敏感目录放在 Web 根下，更不可赋予
www-data读权限
