Nginx安全启用目录索引需四层协同：路径映射（用alias精确绑定）、索引行为（autoindex on+localtime/exact_size优化）、访问控制（auth_basic或IP白名单）、系统权限（Nginx用户对目录有x/r权限）。

要在 Nginx 中安全地启用静态文件目录的目录索引（即浏览文件列表），同时做好权限控制，关键不是“打开就完事”，而是把 路径映射、索引行为、访问认证、系统权限 四层逻辑理清楚。下面分几个实用方向说明。

启用目录索引：autoindex 是核心开关

默认情况下，Nginx 不会列出目录内容，即使目录里有文件。要让它生成 HTML 列表页，必须显式开启 autoindex on：

• 只对当前 location 生效，比如想让 /files/ 可浏览，就得在对应块里写：
  

  location /files/ {<br>  alias /var/www/files/;<br>  autoindex on;<br>  autoindex_localtime on;<br>  autoindex_exact_size off;<br>}

• alias 必须以斜杠结尾，且与 location 路径语义一致；用 root 容易因路径拼接引发越权（如 root /var/www + location /files/ → 实际找 /var/www/files/files/）
• 开启后仍报 403？先检查 Nginx 进程用户（如 www-data 或 nginx）是否对目标目录有 执行权（x） —— 没有 x 权限，连目录都进不去，更别说读取内容了

防止未授权访问：基础认证（auth_basic）最常用

目录能列出来，不等于谁都能看。加一层用户名密码是最轻量、兼容性最好的方式：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

• 用 htpasswd 创建密码文件：
  htpasswd -c /etc/nginx/.htpasswd-files admin（首次创建）
  htpasswd /etc/nginx/.htpasswd-files dev（追加用户）
• 在对应 location 中加入：
  

  auth_basic "Files Area";<br>auth_basic_user_file /etc/nginx/.htpasswd-files;

• 多个目录可用不同密码文件（如 .htpasswd-public 和 .htpasswd-internal），实现账号隔离

加固路径安全：防穿越、防误配

哪怕开了 autoindex，也要堵住常见漏洞点：

• 显式拒绝含 .. 的请求，防止路径遍历：
  if ($request_uri ~ "\.\.") { return 403; }
• 避免在 alias 中使用变量拼接路径（如 alias /data/$1/;），变量若被污染可能绕过限制
• 关闭不必要的功能：除非真需要，不要开 autoindex_exact_size（暴露精确字节）或保留 index 指令混用（它和目录列表无关，只影响首页跳转）

系统级权限配合：别让配置白忙活

Nginx 配置再严，底层文件权限没设对，照样 403：

• 确认 user 指令（如 user nginx;）与目录属主一致：
  chown -R nginx:nginx /var/www/files
chmod 750 /var/www/files（目录需 r-x，文件需 r--）
• 如果目录只给特定组访问，可结合系统组+ auth_basic 做双重控制
• 内网环境还可叠加 IP 白名单：
  

  allow 192.168.1.0/24;<br>deny all;

  放在 location 内