Nginx 实现安全预览需通过 ^~ 精准匹配 /preview/ 入口，隔离原始存储目录（如 /uploads/ deny all），限制预览文件类型（jpg/pdf/txt等），设置 nosniff 与 CSP 头，并结合 auth_basic 或 auth_request 鉴权。
在 Nginx 中为文件管理系统（如 WebDAV、自建网盘或文档中心）实现安全预览，核心不是开放所有文件路径，而是通过 location 精准控制“谁可以预览什么、以什么方式预览”，同时阻断非法访问与执行风险。关键在于隔离预览逻辑与原始文件存储，避免用户直传的文件被解析执行或目录遍历。
明确预览入口路径，用 ^~ 保证优先级
不要把预览功能混在通用 location / 下，应单独定义一个语义清晰、不参与正则竞争的入口，例如 /preview/：
-
location ^~ /preview/ { ... }—— 使用^~前缀匹配，匹配后立即生效，不再检查后续正则规则，防止被其他 location ~ \.php$ 等误覆盖 - 内部统一用
proxy_pass转发到后端预览服务（如 OnlyOffice、LibreOffice Online、或自研轻量预览 API），或用alias指向只读静态资源目录（需严格限制内容类型） - 示例：
location ^~ /preview/ {<br> alias /var/www/preview_cache/;<br> autoindex off;<br> expires 1h;<br>}
严格禁止原始上传/存储目录的直接访问
文件管理系统中，用户上传的原始文件（如 /uploads/、/data/files/）绝不能被浏览器直接请求——否则可能触发 PHP 执行、泄露 .env、或列出整个目录结构：
- 对敏感目录使用
deny all或return 403，推荐^~+deny组合： location ^~ /uploads/ { deny all; }location ^~ /data/ { return 403; }- 额外拦截常见敏感文件：
location ~* \.(env|ini|log|bak|swp|git)$ { return 403; }（注意~*大小写不敏感）
预览内容类型白名单 + MIME 安全加固
即使允许预览，也必须限制能返回的文件类型，防止恶意构造的 SVG、HTML 或 Office 文档触发 XSS 或沙箱逃逸：
- 在预览 location 内，用正则限定扩展名，并显式设置
default_type和add_header防止浏览器 MIME sniffing： location ^~ /preview/ {<br> alias /var/www/preview_cache/;<br> # 只允许图片、PDF、文本类<br> if ($request_filename !~ \.(jpg|jpeg|png|gif|pdf|txt|csv|md)$) {<br> return 403;<br> }<br> default_type application/octet-stream;<br> add_header X-Content-Type-Options "nosniff";<br> add_header Content-Security-Policy "default-src 'none'";<br>}
配合 auth_basic 或 token 验证访问权限
预览不是公开行为，应绑定用户身份。Nginx 层可做轻量校验，避免流量打到后端：
- 基础密码保护（适合内网或测试环境）：
location ^~ /preview/ {<br> auth_basic "Preview Access";<br> auth_basic_user_file /etc/nginx/.htpasswd;<br> alias /var/www/preview_cache/;<br>} - 更推荐：用
auth_request模块对接后端鉴权接口，实现 JWT 或 session 校验（需编译时启用模块） - 若用 URL 参数传递 token（如
/preview/file.pdf?token=xxx），可在 location 中用map提取并验证，但注意日志脱敏，避免 token 泄露
