Nginx二进制程序文件sbin路径及其运行权限

# 查看二进制权限
ls -l /usr/sbin/nginx
# -rwxr-xr-x 1 root root  1.4M Jan 15 09:23 /usr/sbin/nginx
# 查看运行用户（编译时指定，默认 nobody）
nginx -V 2>&1 | grep "user"
# --user=nginx --group=nginx
# 查看当前运行进程的用户
ps aux | grep nginx
# root      1234  0.0  0.1  ...  nginx: master process /usr/sbin/nginx
# nginx     1235  0.0  0.2  ...  nginx: worker process

# 必须由 root 启动（绑定 80/443 端口需要特权）
sudo /usr/sbin/nginx
# 或 systemd 管理
sudo systemctl start nginx

# 指定 worker 进程运行的用户和组
user nginx nginx;    # 格式：user 用户名 组名;
# 或仅指定用户（组同名）
user www-data;

root 启动 master → 读取配置 → fork worker → worker 切换到 nginx 用户

# 创建专用用户（如果不存在）
sudo useradd -r -s /sbin/nologin nginx
# 网站目录（worker 需要读取）
sudo chown -R nginx:nginx /var/www/html
sudo chmod -R 755 /var/www/html
# 日志目录（worker 需要写入）
sudo mkdir -p /var/log/nginx
sudo chown -R nginx:nginx /var/log/nginx
sudo chmod 755 /var/log/nginx
# 缓存/临时目录（如启用 fastcgi_cache）
sudo mkdir -p /var/cache/nginx
sudo chown -R nginx:nginx /var/cache/nginx
sudo chmod 750 /var/cache/nginx
# PID 目录（master 写入，worker 只读）
sudo chown root:root /var/run
sudo chmod 755 /var/run

# /etc/nginx/nginx.conf
# 1. 降权运行（必须配置在全局块顶部）
user nginx nginx;
# 2. 限制 worker 数量（通常等于 CPU 核心数）
worker_processes auto;
# 3. 限制单个 worker 连接数
worker_connections 1024;
# 4. 禁用版本信息泄露
server_tokens off;
# 5. 限制文件上传大小（防 DoS）
client_max_body_size 10m;

#!/bin/bash
# nginx-permission-hardening.sh
NGINX_USER="nginx"
NGINX_GROUP="nginx"
NGINX_SBIN="/usr/sbin/nginx"
NGINX_CONF="/etc/nginx"
NGINX_LOG="/var/log/nginx"
NGINX_CACHE="/var/cache/nginx"
# 1. 设置二进制权限（root 执行，其他只读）
sudo chown root:root $NGINX_SBIN
sudo chmod 755 $NGINX_SBIN
sudo chmod u+s $NGINX_SBIN  # 可选：SUID，允许普通用户绑定特权端口（不推荐）
# 2. 配置文件（root 可写，worker 只读）
sudo chown -R root:root $NGINX_CONF
sudo chmod -R 755 $NGINX_CONF
sudo chmod -R 644 $NGINX_CONF/conf.d/*  # 站点配置
# 3. 敏感文件保护（如包含密码的上游配置）
sudo chown root:root $NGINX_CONF/conf.d/upstream.conf
sudo chmod 600 $NGINX_CONF/conf.d/upstream.conf
# 4. 日志目录（worker 可写）
sudo mkdir -p $NGINX_LOG
sudo chown -R $NGINX_USER:$NGINX_GROUP $NGINX_LOG
sudo chmod 755 $NGINX_LOG
# 5. 缓存目录（worker 可写）
sudo mkdir -p $NGINX_CACHE
sudo chown -R $NGINX_USER:$NGINX_GROUP $NGINX_CACHE
sudo chmod 750 $NGINX_CACHE
# 6. 设置 ACL（如需多用户访问）
sudo setfacl -R -m u:$NGINX_USER:rx $NGINX_CONF
sudo setfacl -R -m d:u:$NGINX_USER:rx $NGINX_CONF
echo "Nginx permissions hardened."

# 编译时指定非特权端口和自定义路径
./configure \
    --prefix=/home/dev/nginx \
    --sbin-path=bin/nginx \
    --conf-path=conf/nginx.conf \
    --pid-path=logs/nginx.pid \
    --http-log-path=logs/access.log \
    --error-log-path=logs/error.log \
    --http-client-body-temp-path=temp/client_body \
    --http-proxy-temp-path=temp/proxy \
    --http-fastcgi-temp-path=temp/fastcgi \
    --user=dev \
    --group=dev
# 监听 8080 端口（无需 root）
server {
    listen 8080;
    ...
}

# 给 nginx 二进制添加绑定特权端口的能力，无需 root 启动
sudo setcap cap_net_bind_service=+ep /usr/sbin/nginx
# 验证
getcap /usr/sbin/nginx
# /usr/sbin/nginx = cap_net_bind_service+ep
# 此时可用普通用户启动，但仍能绑定 80/443
sudo -u nginx /usr/sbin/nginx

# /lib/systemd/system/nginx.service
[Unit]
Description=A high performance web server and a reverse proxy server
After=network.target
[Service]
Type=forking
PIDFile=/run/nginx.pid
ExecStartPre=/usr/sbin/nginx -t -q -g 'daemon on; master_process on;'
ExecStart=/usr/sbin/nginx -g 'daemon on; master_process on;'
ExecReload=/usr/sbin/nginx -g 'daemon on; master_process on;' -s reload
ExecStop=/bin/kill -s QUIT $MAINPID
PrivateTmp=true
# 安全加固
User=root           # 启动用户（master）
Group=root
UMask=0027
NoNewPrivileges=true
ProtectSystem=full
ProtectHome=true
[Install]
WantedBy=multi-user.target

# 检查权限错误
sudo -u nginx /usr/sbin/nginx -t
# 如果报错 "permission denied"，说明 worker 用户无法读取配置
# 检查端口绑定权限
sudo -u nginx /usr/sbin/nginx
# bind() to 0.0.0.0:80 failed (13: Permission denied)
# 检查日志写入权限
sudo -u nginx touch /var/log/nginx/test
# 测试 worker 是否能写入日志
# 查看详细启动日志
sudo strace -e trace=file /usr/sbin/nginx 2>&1 | grep -E "(open|access|stat)"