专栏名称: Linux就该这么学

专注于Linux运维技术培训，让您学习的每节课都有所收获，订阅本号后可每天获得最新Linux运维行业资讯、最实用的Linux免费教程以及独家Linux考证资料，三十多万技术小伙伴的选择，Linux就该这么学！

大佬必备！99% 的 Nginx 安全问题都能用这些方法解决！

Linux就该这么学 · 公众号 · linux · 2025-02-19 08:02

正文

简介：在当今数字化时代，网络安全至关重要。Nginx作为流行的Web服务器，不仅提供高性能，还具备强大的安全保障功能。然而，默认配置可能无法抵御所有安全威胁，因此对Nginx进行安全加固尤为重要。本文为系统管理员、开发者等提供详尽的安全加固指南，涵盖基础到高级策略，包括隐藏版本号信息、限制敏感目录访问、启用HTTPS、配置错误页面、应用内容安全策略（CSP）、设置正确文件权限、添加安全HTTP响应头、限制连接数、配置IP白名单、优化SSL配置、确保文件上传安全、防止常见攻击。通过这些措施，可以有效提升Nginx的安全性，保护网站和应用程序免受潜在威胁。

引言

在当今数字化的世界中，网络安全已成为每一个组织和个人不可忽视的重要议题。作为最流行的Web服务器之一，Nginx不仅因为其高性能而被广泛使用，还因为它能够提供强大的安全保障。然而，默认配置下的Nginx可能无法抵御所有潜在的安全威胁。为了确保您的网站和应用程序能够在互联网上稳健运行，对Nginx进行适当的安全加固显得尤为重要。

本文旨在为系统管理员、开发者以及任何对提升Nginx安全性感兴趣的读者提供一份详尽的安全加固路线图。我们将探讨从基础到高级的各种策略，包括但不限于正确的权限设置、限制对外暴露的信息、启用加密连接、配置防火墙等关键措施。无论您是希望保护个人博客免受攻击，还是为企业的在线服务构建坚固的防线，本文都将为您提供宝贵的实践指导和技术支持。让我们一起深入了解如何通过优化Nginx配置来提高您的网络环境的安全性吧。

隐藏版本号信息

默认情况下，Nginx会在 HTTP响应头中暴露其版本号。攻击者可以利用这些信息来寻找特定版本的漏洞。通过在配置文件中的http、server或location块内添加server_tokens off;来关闭这个功能。

步骤

打开Nginx配置文件：通常位于 /etc/nginx/nginx.conf 或 /usr/local/nginx/conf/nginx.conf ，具体位置取决于你的安装方式。
编辑配置文件：找到http块，并在其中添加server_tokens off;指令。如果你有多个server块，也可以在每个server块中单独设置这个选项，以确保它在整个服务器范围内生效。
保存并退出编辑器：完成修改后保存更改。
检查配置语法：使用命令nginx -t来测试配置文件是否有语法错误。
重新加载Nginx：如果配置文件没有问题，使用命令nginx -s reload来应用新的配置。

# nginx.conf 或者某个特定的 server 配置文件

http {
   
    # 其他配置...

    # 关闭版本信息显示
    server_tokens off;

    # 更多其他配置...

    server {
   
        listen 80;
        server_name example.com;

        # 在 server 块内也可以设置 server_tokens
        # server_tokens off;

        location / {
   
            root /var/www/html;
            index index.html index.htm;
        }
    }
}

限制访问敏感目录

为了防止外部用户访问敏感资源，比如.htaccess文件或.git目录，你可以使用Nginx的location块和deny all;指令来实现。以下是如何配置的具体示例代码以及一个实际案例说明。

下面的例子展示了如何在Nginx配置中添加规则以阻止对.git目录和.htaccess文件的访问：

server {
   
    listen 80;
    server_name example.com;

    # 根目录设置
    root /var/www/html;

    # 禁止访问.git目录
    location ~ /\.git {
   
        deny all;
    }

    # 禁止访问.htaccess文件
    location ~ /\.ht {
   
        deny all;
    }

    # 其他location配置...
}

在这个例子中，我们使用了正则表达式匹配来定位.git和.htaccess文件，并通过deny all;指令拒绝所有请求到这些资源的访问。

假设你有一个基于Git版本控制的Web项目部署在你的服务器上，并且你不希望任何访问者能够看到.git目录下的内容，因为这可能包含敏感信息如提交历史、开发者邮箱等。同样地，如果你不小心将.htaccess文件留在了你的Web根目录下，你也希望能够阻止外部访问这个文件。

按照上述配置，当你尝试直接访问http://example.com/.git/ 或 http://example.com/.htaccess 时，Nginx会返回403 Forbidden错误，从而保护这些敏感资源不被公开访问。

此外，如果你想提供一个友好的错误页面而不是默认的403错误页面，可以结合使用error_page指令。例如：

server {
   
    listen 80;
    server_name example.com;

    # 根目录设置
    root /var/www/html;

    # 定义自定义403错误页面
    error_page 403 /custom_403.html;

    # 禁止访问.git目录
    location ~ /\.git {
   
        deny all;
    }

    # 禁止访问.htaccess文件
    location ~ /\.ht {
   
        deny all;
    }

    # 自定义403错误页面的位置
    location = /custom_403.html {
   
        allow all;
        root /usr/share/nginx/html;
    }
}

这样，当发生403错误时，用户将会看到位于/usr/share/nginx/html/custom_403.html的自定义错误页面，而不是默认的Nginx 403错误提示。

配置错误页面

配置自定义错误页面是提升用户体验和增强安全性的重要措施。下面将通过具体的Nginx配置示例来说明如何设置404、500等错误页面，并确保这些页面不会泄露过多的服务器信息。

首先，你需要编辑Nginx的配置文件（通常是nginx.conf或位于sites-available目录下的某个站点配置文件）。以下是一个简单的配置示例：

server {
   
    listen 80;
    server_name example.com;

    # 根目录设置
    root /var/www/html;
    index index.html index.htm;

    # 隐藏Nginx版本信息
    server_tokens off;

    # 定义自定义错误页面
    error_page 404 /custom_404.html;
    error_page 500 502 503 504 /custom_50x.html;

    # 自定义404错误页面的位置
    location = /custom_404.html {
   
        root /usr/share/nginx/html;
        internal;
    }

    # 自定义50x错误页面的位置
    location = /custom_50x.html {
   
        root /usr/share/nginx/html;
        internal;
    }

    # 其他location配置...
}

在这个例子中，我们使用了error_page指令来指定当发生404或500系列错误时应该显示的页面。internal;指示Nginx只在内部重定向到这个位置，不允许直接访问这些错误页面。

假设你正在运营一个在线商店，网站偶尔会因为各种原因出现临时性的问题，比如数据库连接失败导致的500内部服务器错误。为了确保即使在这种情况下也能提供良好的用户体验，你可以创建一个设计精美的500错误页面，它不仅告诉用户当前遇到了问题，还提供了帮助链接或者联系客服的方式。

同样地，对于404错误，一个好的做法是提供一个搜索框或者导航链接，让用户可以方便地找到他们可能感兴趣的内容，而不是简单地显示“页面未找到”。

例如，你的custom_404.html页面可能包含如下内容：

DOCTYPE html>


    
    Page Not Found


    Oops! Page not found.

    We're sorry, but the page you were looking for doesn't exist.

    
        
        
    

    Go back to homepage

而custom_50x.html可能会这样设计：

DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Server Errortitle>
head>
<body>
    <h1>Something went wrong!h1>
    <p>Our team has been notified and is working on fixing the issue as quickly as possible.p>
    <a href="/">Return to homepagea>
    <p>Contact us if you need further assistance.p>
body>
html>

启用HTTPS

启用HTTPS对于保护数据传输的安全性至关重要。这通常涉及到几个步骤：获取SSL证书、安装SSL证书以及在Nginx配置中设置以支持HTTPS连接。下面，我将通过具体的代码示例和实际案例来详细说明这个过程。

获取并安装SSL证书

首先，你需要从一个可信的证书颁发机构（CA）获取SSL证书。你可以选择付费的SSL证书提供商，如DigiCert、Comodo等，或者使用Let's Encrypt提供的免费SSL证书。

生成CSR文件

在申请SSL证书之前，你需要生成一个证书签名请求（CSR）。以下是使用OpenSSL工具生成CSR文件的命令：

openssl req -new -newkey rsa:2048 -nodes -out yourdomain.csr -keyout yourdomain.key

系统会提示你输入一些信息，例如国家、组织名称、域名等。

提交CSR并下载证书

完成上述步骤后，提交生成的CSR给选定的CA，并按照其指示进行身份验证。一旦验证通过，你会收到一个或多个证书文件，包括服务器证书和中间证书。

在Nginx中启用HTTPS

假设你已经获取了SSL证书并且准备好了所有必要的文件（如yourdomain.crt和yourdomain.key），接下来需要在Nginx配置中启用HTTPS。

Nginx配置示例

以下是一个基本的Nginx配置示例，展示了如何设置HTTPS支持：

server {
   
    listen 80




    
;
    server_name yourdomain.com www.yourdomain.com;

    # 将HTTP请求重定向到HTTPS
    return 301 https://$host$request_uri;
}

server {
   
    listen 443 ssl;
    server_name yourdomain.com www.yourdomain.com;

    ssl_certificate /path/to/yourdomain.crt;
    ssl_certificate_key /path/to/yourdomain.key;
    ssl_trusted_certificate /path/to/intermediate.crt;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_prefer_server_ciphers on;
    ssl_ciphers 'EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH';

    location / {
   
        # 你的网站根目录和其他配置
        root /var/www/html;
        index index.html index.htm;
    }
}

在这个配置中，我们首先定义了一个监听80端口的服务器块，用于处理HTTP请求并将它们重定向到HTTPS。然后，我们定义了另一个服务器块，它监听443端口，并启用了SSL/TLS加密。这里指定了证书文件的位置以及一些额外的安全参数。

应用内容安全策略(CSP)

内容安全策略（CSP）是一个额外的安全层，用于检测并削弱某些特定类型的攻击，包括跨站脚本（XSS）和数据注入攻击等。通过在Nginx配置中应用CSP，你可以指定哪些资源是允许加载的，从而防止潜在的恶意代码执行。

设置CSP的基本步骤

首先，你需要定义一个适合你网站需求的CSP策略。这通常涉及到指定哪些源可以加载脚本、样式、图片等资源。然后，将这个策略添加到你的Nginx配置文件中。

示例代码

假设你有一个简单的博客网站，并且希望确保所有的资源都来自相同的源（即self），除了图片可以从任何地方加载外，其他资源都不允许内联或使用eval()函数。以下是如何在Nginx中设置这样一个CSP的例子：

server {
   
    listen 80;
    server_name example.com;

    # 其他配置...

    add_header Content-Security-Policy "default-src 'self'; img-src *; script-src 'self' 'unsafe-inline' 'unsafe-eval'";

    # 其他location配置...
}

在这个例子中，我们设置了以下规则：

default-src 'self' ：默认情况下，只允许从当前域名加载资源。
img-src *：允许图片从任何源加载。
script-src 'self' 'unsafe-inline' 'unsafe-eval' ：允许脚本从当前域名加载，并允许内联脚本和eval()函数。然而，在实际生产环境中应尽量避免使用unsafe-inline和unsafe-eval，因为它们会增加XSS攻击的风险。

假设一个在线银行系统，它需要非常严格的安全措施来保护用户的数据。在这种情况下，银行可能会采取如下的CSP策略：

add_header Content-Security-Policy "default-src 'self'; script-src 'self' https://trustedscripts.example.com; style-src 'self' https://trustedstyles.example.com; img-src 'self' data: https://trustedimages.example.com; connect-src 'self' https://api.example.com; object-src 'none'; frame-src 'none';";

这里，我们做了如下限制：

只允许从当前域加载所有类型的内容（default-src 'self'）。
脚本只能从当前域和一个可信的第三方脚本提供者加载（script-src 'self' https://trustedscripts.example.com ）。
样式表也受到类似的限制（style-src 'self' https://trustedstyles.example.com）。
图片可以从当前域、data URI以及一个可信的图片服务器加载（img-src 'self' data: https://trustedimages.example.com）。
API请求只能发送到当前域或一个可信的API端点（connect-src 'self' https://api.example.com）。
禁止加载插件内容（object-src 'none'）以减少潜在的安全风险。
不允许页面被嵌入到任何iframe中，防止点击劫持攻击（frame-src 'none'）。

监控与调整

一旦部署了CSP，重要的是要监控其表现。通过使用report-uri指令，你可以让浏览器向你指定的URL报告任何违反CSP的行为，这样就可以及时发现并修复问题。例如：

add_header Content-Security-Policy "default-src 'self'; report-uri /csp-report-endpoint";

这将指示浏览器将任何CSP违规报告发送到/csp-report-endpoint路径上。定期审查这些报告有助于优化你的CSP策略，确保既不过于宽松也不过于严格。

请根据实际情况调整CSP策略，逐步实施新的限制，并测试对网站功能的影响，同时保持对新威胁的关注并适时更新策略。

设置正确的文件权限

设置正确的文件权限是确保Nginx服务安全运行的重要步骤。这涉及到配置文件、日志文件以及网站根目录下的文件和目录的权限设置。以下是一些指导原则和具体的代码示例，用于帮助你正确地设置这些权限。

文件和目录权限的一般规则

文件权限：通常推荐将文件权限设为644，这意味着所有者可以读写（rw-），而组用户和其他人只能读取（r--）。
目录权限：目录权限通常设为755，允许所有者读写执行（rwx），组用户和其他人只能读取和执行（r-x）。
所有者和组：所有者应设置为运行Nginx服务的非root用户，例如nginx或www-data，具体取决于你的系统配置。

设置文件和目录权限的命令

在Linux系统中，你可以使用chmod命令来修改文件或目录的权限，使用chown命令来更改文件或目录的所有者和所属组。

假设你有如下结构：

/var/www/html/  # 网站根目录
/etc/nginx/nginx.conf  # Nginx主配置文件
/var/log/nginx/access.log  # 访问日志文件

你可以使用以下命令来设置权限：

# 设置文件权限为644
sudo chmod 644 /var/www/html/index.html
sudo chmod 644 /etc/nginx/nginx.conf
sudo chmod 644 /var/log/nginx/access.log

# 设置目录权限为755
sudo chmod 755 /var/www/html/

更改文件所有者和组

如果你需要更改文件的所有者和组，可以使用chown命令：

# 假设nginx运行用户为nginx，组也为nginx
sudo chown nginx:nginx /var/www/html/index.html
sudo chown root:nginx /etc/nginx/nginx.conf  # 主配置文件可能由root拥有，但属于nginx组
sudo chown nginx:nginx /var/log/nginx/access.log

假设正在维护一个基于Nginx的WordPress博客。为了确保安全性，你需要正确设置文件和目录的权限。

首先，确定Nginx是以哪个用户运行的。可以通过查看Nginx配置文件中的user指令得知，通常是nginx或www-data。

grep 'user' /etc/nginx/nginx.conf

然后，应用适当的权限设置：

# 设置WordPress安装目录下的文件和目录权限
find /var/www/html -type f -exec chmod 644 {
   } \;
find /var/www/html -type d -exec chmod 755 {
   } \;

# 更改所有权
sudo chown -R nginx:nginx /var/www/html

# 设置Nginx日志文件权限
sudo chmod 640 /var/log/nginx/*.log
sudo chown nginx:nginx /var/log/nginx/*.log

在这个例子中，我们对WordPress安装目录下的所有文件设置了644权限，对目录设置了755权限，并且将所有权更改为Nginx用户。对于日志文件，我们采用了稍微严格的权限640，以限制访问。

配置安全Headers

添加安全相关的HTTP响应头，可以有效防御常见的Web攻击：

# 防止点击劫持
add_header X-Frame




    
-Options SAMEORIGIN;
add_header Content-Security-Policy "frame-ancestors 'self';";

# 强化XSS防护
# 注意：根据实际情况决定是否保留X-XSS-Protection，因为现代浏览器支持程度不同
add_header X-XSS-Protection "1; mode=block";

# 防止MIME类型混淆攻击
add_header X-Content-Type-Options nosniff;

# 增强隐私保护
add_header Referrer-Policy "strict-origin-when-cross-origin";

# 强化的CSP策略
add_header Content-Security-Policy "default-src 'self'; script-src 'self'; object-src 'none'; frame-ancestors 'self'; upgrade-insecure-requests;";

限制连接数

为了防止DoS（拒绝服务）攻击，可以通过限制单个IP的连接数和请求频率来减少恶意流量对服务器的影响。

Nginx提供了两个模块来进行这种类型的限制： ngx_http_limit_conn_module 和 ngx_http_limit_req_module 。前者用于限制连接数，后者用于限制请求频率。

以下是一个简单的Nginx配置片段，用于限制每个客户端IP的最大并发连接数为10：

http {
   
    # 定义一个名为addr的共享内存区域，大小为10MB，键值为$binary_remote_addr
    limit_conn_zone $binary_remote_addr zone=addr:10m;

    server {
   
        location / {
   
            # 每个IP地址最多允许10个并发连接
            limit_conn addr 10;
        }
    }
}

下面是一个限制请求频率的例子，它限制了每个客户端IP每秒最多发起20次请求，并且设置了突发缓冲区为5次请求：

http {
   
    # 定义一个名为req_zone的共享内存区域，大小为10MB，键值为$binary_remote_addr，速率限制为每秒20次请求
    limit_req_zone $binary_remote_addr zone=req_zone:10m rate=20r/s;

    server {
   
        location / {
   
            # 应用名为req_zone的限制规则，允许突发请求量为5
            limit_req zone=req_zone burst=5 nodelay;
        }
    }
}

配置白名单

配置IP白名单是一种有效的安全措施，特别是对于管理后台等敏感区域。通过只允许特定的、受信任的IP地址访问这些区域，可以大大减少未经授权访问的风险。

如果你使用Nginx作为你的Web服务器，可以通过以下方式限制对某些路径的访问仅限于指定的IP地址：

server {
   
    listen 80;
    server_name yourdomain.com;

    location /admin/ {
   
        allow 192.168.1.1; # 允许的IP地址
        deny all; # 拒绝所有其他IP地址
        proxy_pass http://backend;
    }
}

上述配置会使得只有来自192.168.1.1的请求能够访问/admin/路径下的资源，而所有其他IP地址的请求都将被拒绝。

优化SSL配置

优化SSL配置是确保网站安全性和性能的关键步骤。以下是一些具体的建议和代码示例，用于增强SSL/TLS的安全性：

禁用旧版本的SSL/TLS协议（如SSLv3, TLS 1.0, 和 TLS 1.1），因为它们存在已知的安全漏洞。

在Nginx中，你可以通过以下配置来实现：

server {
   
    listen 443 ssl http2;
    ssl_protocols TLSv1.2 TLSv1.3;

    # 其他配置...
}

选择强加密套件以保护数据传输。避免使用含有MD5、RC4等不安全算法的套件。

server {
   
    listen 443 ssl http2;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256';
    ssl_prefer_server_ciphers on;

    # 其他配置...
}

在线证书状态协议（OCSP）Stapling允许服务器预先获取证书吊销状态，并将其提供给客户端，从而减少客户端查询时间。

server {
   
    listen 443 ssl http2;
    ssl_stapling on;
    ssl_stapling_verify on;
    resolver 8.8.8.8 8.8.4.4 valid=300s;
    resolver_timeout 10s;

    # 其他配置...
}

HSTS告诉浏览器总是使用HTTPS访问你的站点，即使用户尝试通过HTTP访问。

server {
   
    listen 443 ssl http2;
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

    # 其他配置...
}

会话票据可以加快后续连接的速度，因为它们允许跳过完整的TLS握手过程。

server {
   
    listen 443 ssl http2;
    ssl_session_tickets on;

    # 其他配置...
}

文件上传安全

为了确保Nginx配置能够防止通过上传大文件耗尽服务器资源，并且保证上传目录的权限配置正确，我们需要从几个方面入手：限制上传文件大小、设置正确的目录权限以及确保上传的文件不会被执行。

在Nginx中，我们可以通过client_max_body_size指令来控制允许客户端上传的最大文件大小。这个指令可以在http, server, 或者 location块中进行设置。以下是一个示例配置：

http {
   
    # 其他配置...

    client_max_body_size 10m; # 设置最大上传文件大小为10MB

    server {
   
        listen       80;
        server_name  example.com;

        location /upload {
   
            # 将请求转发给后端处理文件上传的应用服务器
            proxy_pass http://backend_server;

            # 确保这里也设置了client_max_body_size以覆盖默认值
            client_max_body_size 10m;
        }

        # 其他配置...
    }
}

上述配置将所有上传请求的最大文件大小限制为10MB。如果用户尝试上传超过此大小的文件，Nginx会返回413 (Request Entity Too Large)错误。

为了保护上传的文件不被恶意执行，应该对上传目录设置适当的权限，并禁止该目录下的脚本执行。以下是如何在Nginx配置中做到这一点的一个例子：

server {
   
    listen       80;
    server_name  example.com;

    location /uploads {
   
        alias /path/to/uploads; # 指定上传目录的实际路径

        # 防止任何PHP或类似脚本被执行
        location ~* \.(php|pl|py|jsp|asp|sh|cgi)$ {
   
            deny all; # 对匹配这些扩展名的文件返回403 Forbidden
        }
    }
}

在这个配置中，任何试图访问具有.php, .pl, .py, .jsp, .asp, .sh, 或 .cgi扩展名的文件都会被拒绝访问，即使这些文件位于/uploads目录下。这可以有效避免由于文件上传而导致的安全风险。

防止常见攻击

防止DDoS攻击

http {
   
    # 设置请求速率限制
    limit_req_zone $binary_remote_addr zone=one:10m rate=30r/m;

    server {
   
        location /login.html {
   
            # 应用请求速率限制
            limit_req zone=one;
        }

        # 设置并发连接数限制
        limit_conn_zone $binary_remote_addr zone=addr:10m;

        location /shopping/ {
   
            limit_conn addr 10; # 每个IP最多允许10个并发连接
        }

        # 关闭慢连接
        client_body_timeout 5s;
        client_header_timeout 5s;
    }
}

通过这种方式，可以有效地减少恶意用户发起的大量请求对服务器造成的压力。

防止SQL注入

虽然SQL注入主要是应用程序层面的问题，但是Nginx也可以通过过滤特定的查询字符串来辅助防护：

location / {
       
# 检查URL中是否包含特殊字符    
# 如果包含分号、单引号、尖括号等字符，返回444状态码    
# 444是Nginx特殊状态码，表示关闭连接而不发送响应头    
if ($request_uri ~* [;'<>] ) {
           
return 444;    
}       
# 检查查询字符串中的特殊字符    
if ($args ~* [;'<>] ) {
          
 return 444;    }       
 # 保护敏感URI    
location ~* /(admin|backup|config|db|src)/ {
          
 deny all;    
}}

这会阻止包含有潜在危险字符的请求到达后端服务。

防止跨站脚本攻击（XSS）

可以通过设置HTTP响应头来增加安全性：

add_header X-XSS-Protection "1; mode=block";

这个头部告诉浏览器启用XSS过滤，并在检测到XSS攻击时阻止渲染页面。

点击劫持（Clickjacking）防御

通过设置X-Frame-Options响应头来防止点击劫持：

add_header X-Frame-Options SAMEORIGIN;

这样可以确保你的网站只能被嵌入到相同域名下的iframe中，增加了额外的安全层

防止目录遍历

防止目录遍历攻击是Nginx配置中的一个重要方面，这种攻击允许攻击者通过构造特殊的URL访问Web服务器上的未授权文件或目录。

禁用目录列表（autoindex off）

默认情况下，Nginx不会列出目录内容，但是如果你不小心启用了autoindex on，则可能暴露敏感信息。确保在所有相关位置块中禁用目录列表：

server {
   
    listen 80;
    server_name example.com;

    location / {
   
        autoindex off; # 确保目录浏览被关闭
        root /var/www/html;
    }
}

使用正则表达式阻止包含../的请求

你可以使用正则表达式匹配并拒绝任何试图进行目录遍历的请求：

location ~ /\.\./ {
   
    deny all; # 拒绝所有包含“../”的请求
}

正确配置别名（alias）和根路径（root）

当使用alias时，确保正确地添加斜杠以避免潜在的目录遍历漏洞：

location /static