私钥文件权限必须设为600且属主属组均为root，存放于/etc/nginx/ssl/等Web不可达路径，父目录权限同步设为700，禁用密码保护，Nginx通过绝对路径引用；宽松权限或Web可访问路径将导致私钥泄露风险。
私钥文件权限必须设为 600，属主属组均为 root，且存放路径必须确保 Web 服务无法通过 HTTP 访问——这是防止越权读取的最核心防线。
私钥文件权限必须严格设为 600
私钥（.key 文件）是 TLS 握手中最敏感的资产，任何非 root 用户可读都会导致身份冒用或流量解密：
- 执行命令：
sudo chmod 600 /etc/nginx/ssl/example.com.key - 同步属主：
sudo chown root:root /etc/nginx/ssl/example.com.key - 验证效果：
ls -l /etc/nginx/ssl/example.com.key应显示-rw-------，无 group 或 other 位权限 - 禁止使用 644、755、664 等宽松权限——即使 Nginx 启动成功，也等于将服务器身份暴露给 PHP、CGI 或普通用户进程
存放路径必须隔离于 Web 可达范围
Nginx 不会主动检查路径安全性，但操作系统和 URL 路由决定了风险是否真实存在：
- 推荐路径：
/etc/nginx/ssl/或/etc/ssl/private/（默认不被任何root或alias指令映射） - 绝对禁止路径：
/var/www/、/usr/share/nginx/html/、/home/xxx/、/tmp/等可能被 HTTP 请求解析到的位置 - 验证方式：在浏览器中访问
https://your.site/ssl/example.com.key，必须返回403 Forbidden或404 Not Found，绝不能返回私钥内容
父目录权限需同步收紧至 700
仅保护私钥文件本身不够，目录遍历权限同样关键：
- 执行命令：
sudo chmod 700 /etc/nginx/ssl/ - 同步属主：
sudo chown root:root /etc/nginx/ssl/ - 700 表示仅 owner（root）可读、写、执行；group 和 others 完全无权限
- 目录的执行权限（x）是必需的（否则 Nginx 主进程无法进入并读取文件），但必须严格限制作用域
配置与运行环境必须匹配
权限设置后，还需确保 Nginx 实际能加载，同时杜绝其他绕过风险：
-
ssl_certificate_key必须使用绝对路径，例如：ssl_certificate_key /etc/nginx/ssl/example.com.key; - 禁用私钥密码保护——Nginx 无法交互输入，会导致 reload 失败或服务中断
- 若 Nginx 非 root 运行（如 worker 以 www-data 启动），需额外授权：
sudo setfacl -m u:www-data:r /etc/nginx/ssl/example.com.key，而非放宽全局权限 - 私钥严禁提交到 Git、CI/CD 构建上下文或共享存储；生产环境应通过密钥管理服务（如 HashiCorp Vault）注入
不复杂但容易忽略
