老旧框架改造中用 alias 接管静态文件库的核心是控制风险暴露面，必须满足三项硬性前提：location 以 / 结尾、alias 值末尾带 /、加 internal；并配套顶层拦截规则、try_files 校验、禁用 autoindex、前置屏蔽敏感路径与危险扩展名。
老旧框架改造时用 alias 接管静态文件库，核心不是“修好 alias”，而是**控制风险暴露面**。Alias 本身不安全，但若必须用（比如旧系统硬编码了 /static/ 路径、无法改代码），就得用最严的边界收口方式，把越权可能压到最低。
必须满足的三项硬性前提
缺一不可，否则不建议启用 alias：
-
location 必须以 / 结尾，例如
location /static/ { ... }；写成/static（无尾斜杠）会导致路径截断逻辑错乱，极易引发 404 或越权 -
alias 值末尾也必须带 /，例如
alias /data/legacy/static/;；漏掉斜杠会把请求/static/js/app.js错拼成/data/legacy/staticjs/app.js -
紧随其后加
internal;，禁止外部直接访问，只允许内部重定向调用（如配合rewrite ... break;或error_page 404回退）
配套拦截规则要写在 server 顶层
不能放在 location 里，否则会被绕过。在 server { 开头处加入：
if ($uri ~ "\.\.") { return 403; }if ($request_uri ~ "(\.\.\/|\/\.\.|%2e%2e|\.%2e)") { return 403; }if ($uri ~ "//") { return 403; }
这些规则对所有请求生效，能拦住绝大多数目录遍历尝试，包括 URL 编码绕过。
静态资源必须兜底到真实存在性校验
alias 不自带路径合法性判断，所以一定要配 try_files：
-
try_files $uri =404;—— 只响应真实存在的文件，不存在就 404，不回退、不列目录 - 禁用
autoindex on，全局加autoindex off;在 http 或 server 块中 - 避免混用
index指令，alias 不支持自动索引首页，显式写try_files $uri /static/index.html;才有效
敏感路径和扩展名要前置屏蔽
在所有 location（包括 alias 所在块）之前，加一条通用拦截：
location ~ ^/(?:\.(?:git|env|htaccess)|config|backup|logs|phpmyadmin|install) { return 403; }- 再加一条扩展名限制：
location ~ \.(php|pl|py|jsp|sh|cgi)$ { return 403; }，防止上传脚本被解析执行
这类路径哪怕 alias 指向的是只读目录，也绝不能让 Nginx 尝试打开——先拦住，不给机会解析。
