私钥文件权限必须设为600、属主为root，并存放于Web不可访问路径（如/etc/nginx/ssl/），禁止使用宽松权限或置于Nginx映射目录；目录权限需设为700，配置中须用绝对路径引用且禁用密码保护。
私钥文件权限设为 600、属主为 root，并放在 Web 无法访问的路径（如 /etc/nginx/ssl/），是保障 Nginx SSL 安全最基础也最关键的一步。配置指令本身不决定安全，真正起作用的是私钥所处的运行环境。
私钥必须存放在隔离路径
不能放在任何被 Nginx root、alias 或 location 映射到 HTTP 请求的目录下，例如：
-
/var/www/、/usr/share/nginx/html/ - 面板自动生成的站点目录（如宝塔的
/www/wwwroot/）
推荐路径：/etc/nginx/ssl/ 或 /etc/ssl/private/。这两个位置默认不在 Web 可达范围内，且系统策略通常已限制普通用户访问。
验证方式：在浏览器中直接请求私钥 URL（如 https://yoursite.com/ssl/example.key），应返回 403 Forbidden 或 404 Not Found；若返回 200 并显示内容，说明路径暴露，需立即迁移。
文件权限必须严格为 600
私钥文件（如 /etc/nginx/ssl/example.com.key）只允许 root 用户读写，其他用户和组不可读、不可写、不可执行：
- 执行命令修复：
chmod 600 /etc/nginx/ssl/example.com.key - 确认属主：
chown root:root /etc/nginx/ssl/example.com.key
禁止使用 644、664、755 等宽松权限——PHP 脚本、CGI 程序或普通用户可能借此读取私钥，导致 HTTPS 流量被解密或服务器身份被冒用。
注意：生成私钥时避免用 umask 002，否则新文件默认可能是 640，属于高危配置。
父目录权限也要同步收紧
即使私钥文件权限正确，若其所在目录权限过宽（如 755），攻击者仍可能遍历目录、替换文件或创建符号链接绕过检查。
- 若私钥放在
/etc/ssl/private/，请同时执行：chmod 700 /etc/ssl/private/chown root:root /etc/ssl/private/ - 目录需保留可执行（
x）权限，否则 Nginx 主进程无法进入读取；但仅限 owner，组和其他人不可列目录内容。
Nginx 配置中正确引用且禁用密码保护
ssl_certificate_key 必须使用绝对路径指向私钥文件，不能用相对路径或软链接：
- 正确写法：
ssl_certificate_key /etc/nginx/ssl/example.com.key; - 严禁加密私钥（如用
openssl rsa -aes256加密），Nginx 启动或 reload 时无法自动输入密码，会导致服务中断。 - 已有带密码私钥，应先解密：
openssl rsa -in domain.key.encrypted -out domain.key
自动化续期脚本（如 Certbot）务必在更新后强制校验权限：chmod 600 /etc/nginx/ssl/*.key && chown root:root /etc/nginx/ssl/*.key
