Nginx日志权限安全需统一运行用户归属、设目录750/文件640、配置logrotate的create与su指令，并禁用Web层日志访问。
解决 Nginx logs 文件夹权限问题，核心是让日志目录和文件仅对 Nginx 进程可写、对其运行用户组可读，同时阻止其他用户访问。不能只调 chmod，必须配合属主归属、logrotate 配置和 Web 层防护，否则改完很快又被重置或暴露。
确认并统一 Nginx 运行身份
权限错乱的起点往往是属主不匹配。Nginx 主进程与 worker 进程需以同一用户/组操作日志：
- 运行
ps aux | grep nginx，查看主进程 USER 列（如 www-data 或 nginx） - 检查
/etc/nginx/nginx.conf中的user指令（例如user www-data www-data;），未设置时可能默认为nobody - 执行
sudo chown -R www-data:www-data /var/log/nginx，确保整个日志目录归属与运行身份严格一致
设置合理且稳定的目录与文件权限
750 和 640 是兼顾可用性与安全性的黄金组合——过松（如 755/644）导致日志泄露敏感信息（IP、URL、错误堆栈）；过严（如 700/600）会让多 worker 场景下因组权限缺失而写入失败：
-
日志目录（如
/var/log/nginx）设为 750：属主 rwx、属组 rx、其他无权限 -
日志文件（
access.log、error.log等）设为 640：属主 rw、属组 r、其他无权限 - 执行命令：
sudo chmod 750 /var/log/nginx和sudo chmod 640 /var/log/nginx/*.log
堵住 logrotate 导致的权限回退漏洞
logrotate 是权限被重置的高发环节。若它以 root 身份创建新日志，默认归属 root:root、权限 644，Nginx 将无法写入，且日志内容暴露：
- 编辑
/etc/logrotate.d/nginx，确保包含两行关键配置：create 640 www-data www-datasu www-data www-data - 测试配置是否生效：
sudo logrotate -d /etc/logrotate.d/nginx，观察输出中是否出现 “creating new log file with mode = 0640”
切断 Web 层对日志路径的直接访问
即使本地权限正确，若日志目录意外落在 Web 根路径下，攻击者可通过 URL 直接下载（如 https://example.com/logs/access.log）：
- 确认
/var/log/nginx不在任何root或alias指令指向的路径中 - 在站点配置中添加防护规则：
location ~ \.log$ { deny all; } - 定期检查误配：
find /etc/nginx/conf.d/ -name "*.conf" -exec grep -l "log" {} \;
