确保Nginx日志安全需全程管控权限：统一日志目录及文件归属为Nginx运行用户（如www-data），目录权限设为750、文件为640，logrotate配置create 640 www-data www-data并su切换身份，同时禁止Web直接访问日志路径。
要让 Nginx 日志切割后仍保持安全，关键不是“切完再改权限”，而是从归属、创建、轮转全过程控制权限链。普通用户读取日志（如 access.log）可能泄露真实 IP、请求路径、User-Agent 甚至错误堆栈，必须阻断这一通路。
确保日志目录和文件归属与 Nginx 运行身份一致
权限失效的首要原因是属主错乱。Nginx 必须能写，其他用户不能读——这依赖于“谁拥有文件”。
- 运行
ps aux | grep nginx查看主进程 USER 列（常见为www-data或nginx） - 检查
/etc/nginx/nginx.conf中的user指令，例如user www-data www-data; - 执行
sudo chown -R www-data:www-data /var/log/nginx，统一整个日志目录归属
设置最小必要权限：目录 750，日志文件 640
权限数字背后是访问控制逻辑：过松（如 644）等于把日志内容公开给所有登录用户；过严（如 600）可能导致 worker 进程因组权限缺失而写失败。
- 日志目录（如
/var/log/nginx）设为750：属主可读写执行，属组仅可读执行，其他用户无任何权限 - 日志文件（
access.log、error.log等）设为640：属主读写，属组只读，其他用户不可见 - 执行命令：
sudo chmod 750 /var/log/nginx和sudo chmod 640 /var/log/nginx/*.log
堵住 logrotate 创建新文件时的权限漏洞
logrotate 默认以 root 身份运行，新建日志常是 root:root + 644，既导致 Nginx 写入失败，又暴露日志内容。
- 编辑
/etc/logrotate.d/nginx，确保含这两行： -
create 640 www-data www-data（新建文件权限与属主/属组） -
su www-data www-data（以该用户身份执行轮转动作） - 用
sudo logrotate -d /etc/logrotate.d/nginx测试，确认输出中出现creating new log file with mode = 0640
禁止 Web 层直接访问日志路径
即使本地权限正确，若日志目录意外被映射进 Web 根路径（比如配置了 alias /logs/ /var/log/nginx/;），攻击者可通过 URL 下载日志。
- 检查所有站点配置，确认
/var/log/nginx不在任何root或alias指令指向的路径中 - 在 Nginx 配置中添加防护规则：
location ~ ^/logs/ { return 403; }location ~ \.log$ { deny all; }
