Nginx 如何配置源码安装的 Nginx 使用非 root 权限用户安全运行

源码安装Nginx必须显式配置专用非root用户运行worker进程，主进程以root绑定80/443端口，worker降权为nginx用户处理请求、读写文件和日志；编译时需加--user=nginx --group=nginx参数，并在nginx.conf全局块顶部写入user nginx nginx;，创建无登录用户useradd -r -s /sbin/nologin nginx，验证ps进程身份及文件权限。

源码安装的 Nginx 必须显式配置专用非 root 用户运行 worker 进程，否则默认以 nobody 或 root 启动，存在严重提权风险。关键不是“能不能用非 root 启动”，而是“是否真正隔离了主进程与 worker 的权限边界”——主进程需 root 绑定 80/443，worker 必须降权为专用用户执行请求处理、文件读写和日志写入。

编译时指定运行用户

在 ./configure 阶段就应固化用户信息，避免后期配置遗漏：

1. 添加 --user=nginx --group=nginx 参数（推荐使用专用用户，而非 nobody）
2. 完整示例：

   ./configure

   --prefix=/opt/nginx

   --conf-path=/opt/nginx/conf/nginx.conf

   --pid-path=/opt/nginx/logs/nginx.pid

   --user=nginx

   --group=nginx

   --with-http_ssl_module

   --with-http_v2_module

3. 该配置会写入生成的 Makefile 和二进制中，后续 nginx -V 可验证输出是否含 user=nginx

配置文件中再次声明 user 指令

即使 configure 指定了 user，nginx.conf 全局块顶部仍必须显式写入 user 指令，否则不生效：

1. 在 nginx.conf 第一行或全局块开头 添加：

   user nginx nginx;

2. 注意：不能放在 http {}、server {} 等内部块中，仅全局块有效
3. 若使用 include 引入多配置，确保该行未被覆盖或注释
4. 修改后必须执行 nginx -s reload（不是 restart），否则配置不加载

系统级用户创建与权限收紧

专用用户不是可选步骤，而是强制闭环的一环：

1. 创建无登录能力的系统用户：

   useradd -r -s /sbin/nologin nginx

2. 验证账户状态：

   id nginx（应返回 uid/gid）

   passwd -S nginx（应显示 LK 表示锁定）

3. 属主属组同步到所有 Nginx 目录：

   chown -R nginx:nginx /opt/nginx

4. SSL 私钥权限必须为 600，且属主为 root:nginx（worker 只读，不可写）
5. 日志目录如 /opt/nginx/logs 设为 750，属主 root:nginx，worker 以 nginx 身份追加写入

验证是否真正降权运行

仅改配置不等于生效，必须通过进程树确认：

1. 执行 ps aux | grep nginx，应看到：

   – 一行以 root 开头的 master process

   – 多行以 nginx（或你指定用户名）开头的 worker process

2. 若全是 root → 未 reload 或配置未加载

   若全是 nobody → 用户不存在或 user 指令未命中

   若显示用户名但无法启动 → 检查 /etc/passwd 中 shell 是否为 /sbin/nologin（合法）

3. 补充验证：

   sudo -u nginx ls /opt/nginx/conf（应可读）

   sudo -u nginx touch /tmp/test（应允许，说明上下文切换正常）