在 nginx.conf 全局块最顶部配置 user 指令（如 user nginx nginx;），可使 Worker 进程以非 root 用户运行，Master 进程仍以 root 启动；该用户需提前创建为无登录权限的系统用户，并赋予必要文件访问权限，再通过 ps 命令验证进程身份分离，最后结合 systemd、SELinux 等机制实现纵深防御。
直接在 nginx.conf 全局块（main context）最顶部写一行 user 指令，指定非 root 用户和组，就能让 Worker 进程降权运行——Master 进程仍以 root 启动，不受影响。
必须放在配置文件最开头
user 指令只能出现在 events 块和 http 块之前，也就是整个配置文件的最外层、最上方。放错位置会报错："user" directive is not allowed here。
- 正确位置示例：
user nginx nginx;<br>events { ... }<br>http { ... }
- 不能写在
http、server或location块内部 - 不能省略——未配置时部分系统回退为
nobody，行为不可靠 - 禁止写成
user root root;，这会让 Worker 也以 root 运行，失去安全意义
用户必须真实存在且无登录能力
Worker 进程会切换到该用户身份运行，所以这个用户得提前创建，并限制其系统权限。
- 推荐用系统命令创建专用用户：
sudo useradd -r -s /sbin/nologin -d /var/www nginx
-
-r表示创建系统用户；-s /sbin/nologin禁止登录；-d指定家目录（可选但建议） - 确保该用户对网站根目录、日志目录、缓存目录有对应读写权限，但不赋予 shell 或 sudo 权限
- SSL 私钥等敏感文件仍由
root拥有，权限设为600，Worker 用户不可读
验证是否真正生效
改完配置重启 Nginx 后，用系统命令确认 Master 和 Worker 的实际运行身份是否分离。
- 查看进程用户归属：
ps aux | grep nginx
- 应看到一行
root开头的master process，多行nginx（或你指定的用户名）开头的worker process - 更清晰的方式：
ps -o pid,user,group,comm -C nginx
- 检查 Worker 是否能正常访问资源，例如模拟执行：
sudo -u nginx ls -l /var/www/html/index.html
- 应能读取，但不能写入；若报“Permission denied”，说明权限设置过严，需微调目录属组或权限位
配合其他机制才真正安全
仅靠 user 指令不够，需结合操作系统级防护形成纵深防御。
- 若用 systemd 管理，保留
User=root在 service 文件中保障 Master 启动，同时通过AmbientCapabilities=CAP_NET_BIND_SERVICE让 Master 只保留绑定端口能力，剥离其他 root 权限 - 启用 SELinux 时，确保 Nginx 进程运行在
httpd_t域，必要时用semanage fcontext标记自定义路径 - 禁用高危模块如
autoindex、ssi，关闭server_tokens，防止信息泄露暴露版本或架构
