源码安装Nginx必须显式配置专用非root用户运行worker进程，主进程以root绑定80/443端口，worker降权为nginx用户处理请求、读写文件和日志；编译时需加--user=nginx --group=nginx参数，并在nginx.conf全局块顶部写入user nginx nginx;，创建无登录用户useradd -r -s /sbin/nologin nginx，验证ps进程身份及文件权限。
源码安装的 Nginx 必须显式配置专用非 root 用户运行 worker 进程，否则默认以 nobody 或 root 启动，存在严重提权风险。关键不是“能不能用非 root 启动”，而是“是否真正隔离了主进程与 worker 的权限边界”——主进程需 root 绑定 80/443，worker 必须降权为专用用户执行请求处理、文件读写和日志写入。
编译时指定运行用户
在 ./configure 阶段就应固化用户信息，避免后期配置遗漏：
- 添加 --user=nginx --group=nginx 参数（推荐使用专用用户，而非 nobody）
- 完整示例：
./configure \
--prefix=/opt/nginx \
--conf-path=/opt/nginx/conf/nginx.conf \
--pid-path=/opt/nginx/logs/nginx.pid \
--user=nginx \
--group=nginx \
--with-http_ssl_module \
--with-http_v2_module - 该配置会写入生成的 Makefile 和二进制中，后续 nginx -V 可验证输出是否含 user=nginx
配置文件中再次声明 user 指令
即使 configure 指定了 user，nginx.conf 全局块顶部仍必须显式写入 user 指令，否则不生效：
- 在 nginx.conf 第一行或全局块开头 添加：
user nginx nginx; - 注意：不能放在 http {}、server {} 等内部块中，仅全局块有效
- 若使用 include 引入多配置，确保该行未被覆盖或注释
- 修改后必须执行 nginx -s reload（不是 restart），否则配置不加载
系统级用户创建与权限收紧
专用用户不是可选步骤，而是强制闭环的一环：
- 创建无登录能力的系统用户：
useradd -r -s /sbin/nologin nginx - 验证账户状态：
id nginx（应返回 uid/gid）
passwd -S nginx（应显示 LK 表示锁定） - 属主属组同步到所有 Nginx 目录：
chown -R nginx:nginx /opt/nginx - SSL 私钥权限必须为 600，且属主为 root:nginx（worker 只读，不可写）
- 日志目录如 /opt/nginx/logs 设为 750，属主 root:nginx，worker 以 nginx 身份追加写入
验证是否真正降权运行
仅改配置不等于生效，必须通过进程树确认：
- 执行 ps aux | grep nginx，应看到：
– 一行以 root 开头的 master process
– 多行以 nginx（或你指定用户名）开头的 worker process - 若全是 root → 未 reload 或配置未加载
若全是 nobody → 用户不存在或 user 指令未命中
若显示用户名但无法启动 → 检查 /etc/passwd 中 shell 是否为 /sbin/nologin（合法） - 补充验证：
sudo -u nginx ls /opt/nginx/conf（应可读）
sudo -u nginx touch /tmp/test（应允许，说明上下文切换正常）
