Nginx 的 root 指令不支持运行时变量插值，直接写 root /var/www/$user; 会报错或行为不可控；应使用 map 预定义映射 + root $var、alias 精确路径控制，再结合 auth_basic 认证与文件系统权限实现安全隔离。
不能直接用 root 指令结合变量（如 $user）实现多用户静态目录隔离——Nginx 的 root 不支持运行时变量插值，写成 root /var/www/$user; 会报错或行为不可控。真正可行、安全、可维护的方式是：用 map 预定义映射 + root $var，或改用 alias + 精确路径控制，再配合认证与系统权限加固。
用 map + root 实现用户级静态目录路由
适用于用户身份明确且可通过请求特征识别的场景（如子域名、请求头、固定路径前缀）。map 必须定义在 http 块中，它把输入值“静态绑定”到一个确定路径，之后 root 才能安全引用：
- 按子域名区分用户：
map $host $user_root { ~^(?<u>.+)\.example\.com$ /var/www/users/$u; }</u> - 按请求头识别：
map $http_x_user_id $user_root { default /var/www/users/default; "u123" /var/www/users/u123; "u456" /var/www/users/u456; } - 在
location中使用：location /static/ { root $user_root; try_files $uri =404; } - 注意：
$user_root必须是完整绝对路径，结尾不加斜杠；root会自动拼接 URI 路径，所以/static/logo.png对应的是/var/www/users/u123/static/logo.png
用 alias + 认证实现更严格的用户目录隔离
当用户身份来自登录态（如 Basic Auth 用户名），或需避免路径拼接风险时，alias 更可靠，但需放弃 root 思路：
- 为每个已知用户配置独立
location，例如：location ^~ /u123/ { alias /var/www/users/u123/; auth_basic "User u123"; auth_basic_user_file /etc/nginx/auth/u123.htpasswd; } -
alias后路径必须以/结尾，否则/u123/css/app.css会错映射为/var/www/users/u123css/app.css - 搭配
auth_basic和独立密码文件，实现账号与目录一一对应 - 禁用
autoindex on，防止目录遍历；同时在 Linux 层设置目录权限为750，属主为 Nginx 运行用户（如www-data）
绕过变量限制的替代方案：分层物理结构 + try_files
若无法预定义所有用户（如动态注册用户），可采用固定根目录 + 用户子目录结构，用 try_files 安全查找：
- 约定所有用户静态资源放在
/var/www/users/{username}/public/ - 配置：
location /static/ { root /var/www/users; try_files $uri $uri/ /$arg_user/public$uri =404; } - 更稳妥的做法是结合 FastCGI 或后端服务做用户校验，由应用层决定
$user值，再通过proxy_set_header X-User透传，Nginx 仅做路径代理 - 此方式规避了 Nginx 变量在
root中的限制，也避免了if指令的陷阱
核心原则没变：Nginx 不是编程语言，它的配置是声明式、静态解析的。所谓“多用户隔离”，本质是把用户维度提前收敛为可枚举的路径或变量映射，再靠 map、alias、认证和文件系统权限四层落地。别试图让 root 动态执行，那只会引入路径穿越或 404 风险。
