如何基于最小权限原则优化Nginx运行账号的安全性？

本文共计849个文字，预计阅读时间需要4分钟。

直接在 `nginx.conf` 全局块顶部写 `user nginx nginx;` 并不等同于安全——此键在于这个用户是否真实存在。最小化——确保整个权限链是封闭的。核心是让 worker 进程仅拥有读取静态文件、写日志、访问临时目录这三类必需的能力，其他概不给予。

创建专用运行用户，禁用登录与交互能力

不要复用 nobody 或 www-data（尤其在多服务共存环境），应为 Nginx 创建隔离账户：

• 执行 useradd -r -s /sbin/nologin -M nginx：-r 表示系统用户，-s /sbin/nologin 禁止 shell 登录，-M 不创建家目录
• 验证结果：id nginx 应显示 uid/gid 存在，且无 home 目录、无登录 shell
• 确保该用户不在 sudo、adm、docker 等高权限组中，可用 groups nginx 检查

显式配置 user 指令并确认生效范围

user 指令必须位于 nginx.conf 的 main 上下文（即最外层，其他任何块内无效）：

• 正确写法：user nginx nginx;（组名可省略，默认同用户名；但显式写出更清晰）
• 错误写法：user nginx;（旧版本兼容，但组未明确定义，易引发权限歧义）
• 启动后验证：ps aux | grep 'nginx: worker'，确认 UID 列为 nginx 对应的数字 ID，不是 root 或 65534

权限匹配：让 nginx 用户刚好能读、不能改、不可逃

用户设对了，目录权限没跟上，照样白搭。需按用途分层控制：

• 网站根目录（如 /var/www/html）：属主 root:nginx，权限 755（目录可进入+读，文件可读）
• 上传或可写目录（如 /var/www/uploads）：属主 nginx:nginx，权限 750，且需在 location 中禁用脚本执行：location ~ \.(php|sh|pl)$ { deny all; }
• 日志目录（如 /var/log/nginx）：属主 root:nginx，权限 750；Nginx 启动时自动以 nginx 身份追加写入，无需给 nginx 写目录权限
• SSL 私钥（如 /etc/ssl/private/example.key）：属主 root:root，权限 600；主进程读取后内存持有，worker 不需直接访问

配合系统级防护，堵住降权后的提权路径

仅靠 user 指令不够，需叠加运行时约束：

• 若用 systemd 托管，在 /etc/systemd/system/nginx.service.d/override.conf 中添加：
  NoNewPrivileges=yes（禁止 fork 后提权）、
  ProtectSystem=strict（挂载只读系统路径）、
  RestrictAddressFamilies=AF_UNIX AF_INET AF_INET6（禁用非常用协议族）
• 禁用危险模块：编译时加 --without-http_autoindex_module --without-http_ssi_module，避免目录遍历或服务端注入
• 关闭版本泄露：server_tokens off; 放在 http 或 server 块中，防止攻击者精准利用已知漏洞