Nginx主进程必须以root启动，Worker进程通过user指令降权运行于指定低权限用户；需提前创建无登录能力的系统用户，严格设置私钥、网站目录、日志及缓存目录权限，并通过ps和sudo -u验证生效。
Nginx 主进程必须以 root 权限启动，这是硬性要求——只有 root 才能绑定 80/443 等特权端口、读取 600 权限的 SSL 私钥、调用 setuid/setgid 创建子进程。所谓“主进程降权”，并不是让它放弃 root 身份，而是通过权限分离机制，让真正处理请求的 Worker 进程严格运行在低权限用户下。
在 nginx.conf 顶层配置 user 指令
该指令只作用于 Worker 进程，且必须写在 events { } 块之前、全局上下文（main context）最上方：
- Debian/Ubuntu 系统常用：
user www-data www-data; - RHEL/CentOS 系统常用：
user nginx nginx; - 自定义专用用户（推荐）：
user appuser appgroup;，不能写成user root root;，也不能省略组名
提前创建无登录能力的系统用户
Worker 进程会切换到该用户身份运行，因此需确保目标用户真实存在且最小化权限：
- 执行：
sudo useradd -r -s /sbin/nologin -M appuser - 验证：
id appuser应返回 UID/GID；passwd -S appuser应显示LK（锁定状态） - 避免使用
nobody或普通账户——边界模糊，易被横向利用
收紧关键路径的文件与目录权限
即使 Worker 用户权限很低，若能访问私钥或写入配置目录，仍可能被绕过：
- SSL 私钥（如
/etc/ssl/private/example.key）：权限600，属主root:root - 网站根目录（如
/var/www/html）：权限755，属主root:appuser，静态文件设为644 - 日志目录（如
/var/log/nginx）：权限750，属主root:appuser，允许组写入 - 缓存目录（如
/var/cache/nginx）：权限750，属主appuser:appuser
验证配置是否真正生效
改完配置后必须重载（nginx -s reload），再用命令确认实际进程身份：
-
ps aux | grep nginx：应看到一行root开头的master process，其余多行为appuser（或你指定的用户名）开头的worker process -
ps -o pid,user,group,comm -C nginx：可清晰区分 Master（PPID 通常为 1）和 Worker（PPID 为 Master PID） -
sudo -u appuser ls -l /var/www/html/index.html：模拟 Worker 用户访问，确认可读不可写
