alias 优先级高于 root，混用时后者被静默忽略；需用 nginx -T 和 return 200 "$request_filename" 验证实际生效指令，避免路径错位与敏感文件泄露。
alias 和 root 混用不是语法错误，但极易导致路径错位、404 或敏感文件泄露。问题本质是两者拼接逻辑冲突：root 追加完整 URI，alias 替换 location 前缀——混用时 Nginx 会按就近原则生效，而人容易误判哪个配置在起作用。
先确认到底哪个指令在生效
location 块中同时写了 root 和 alias，Nginx 只认其中一个（alias 优先级高于 root），另一个被静默忽略。这不是 bug，是设计行为。排查第一步就是验证实际生效的是谁：
- 删掉其中一个指令，只保留 alias 或只保留 root，再用
nginx -T输出完整生效配置，确认你看到的确实是当前加载的 server 块 - 在 location 块里临时加一行：
return 200 "real path: $request_filename";，curl 请求静态资源，直接看返回的真实路径，比读配置快得多 - 检查 error log 中 open() 失败的具体路径，例如
open() "/var/www/static/js/app.js" failed (2: No such file)，说明 root 在起作用；若显示/var/www/dist/app.js，则是 alias 生效
常见混用错位场景与修正方式
典型错误不是“写了两个”，而是“以为写了 root 就覆盖了 alias”，或反过来。以下是最常踩的坑：
- location /static/ { root /var/www/app; alias /var/www/dist/; } → alias 覆盖 root，但 /var/www/dist/ 缺末尾斜杠，请求 /static/css/main.css 实际找 /var/www/distcss/main.css（粘连）
- server 块设了 root /var/www;，又在 location /api/ 里写 alias /opt/backend/static/; → 正常；但若 location /static/ 里漏写 alias，就会回退到 server 级 root，去查 /var/www/static/xxx，而真实静态文件其实在 /opt/backend/static/
- 用 root 指向父目录（如 root /var/www;）配合 location /admin/，却期望访问 /admin/logo.png 时读取 /var/www/logo.png —— 这是语义错配，必须改用 alias /var/www/;
安全边界必须守牢
混用本身不危险，危险在于路径失控后向上逃逸。务必做到：
- alias 的值必须以 / 结尾（除非明确指向单个文件），location 的匹配路径也必须以 / 结尾（如 /static/ 而非 /static）
- 禁止在任何 location 中使用 root /;、root /home; 或 root ..; 这类高危写法，哪怕只是测试
- 静态目录权限收紧：chown root:www-data /var/www/static，chmod 750 /var/www/static，防止 Nginx 进程越权读取上层敏感文件
- 若需多级映射（如 /v1/assets/ → /data/releases/v1/assets/），优先用 alias + 正则捕获，避免 root 层级依赖
一个稳妥的替代思路
不硬扛混用，改用清晰分层：
- 所有纯静态资源（js/css/img/fonts）统一走 alias，例如 location ~ ^/(js|css|img|fonts)/ { alias /var/www/dist/$1/; }
- 根路径 / 交给 root + try_files，用于 SPA 回退：location / { root /var/www/dist; try_files $uri $uri/ /index.html; }
- 后端接口路径（如 /api/）单独用 proxy_pass，确保静态规则不干扰转发
