Nginx worker进程必须以非特权用户运行，主进程由root启动但worker需通过user指令降权（如user nginx nginx;），并配合最小权限文件系统设置、SELinux/AppArmor策略及严格路径权限控制，确保安全纵深防御。
Nginx 启动时默认以
非特权用户
运行，这是其安全设计的关键一环。直接使用 root 运行 Nginx 会极大增加系统被攻击后提权的风险。正确配置
和
指令，能有效限制 worker 进程的文件系统与网络访问权限，是生产环境必须落实的基础安全措施。
明确区分主进程与工作进程的运行身份
Nginx 主进程（master process）始终由 root 启动（仅在绑定 1–1023 端口或加载某些模块时需要），但所有实际处理请求的 worker 进程应降权运行。通过
指令指定 worker 进程的 UID/GID，例如：
（Debian/Ubuntu 默认）
（CentOS/RHEL 默认）
避免写成
或留空（此时部分发行版会回退为 nobody，但行为不可靠）
确保用户和组真实存在且权限最小化
配置前需确认系统中已创建专用用户与组，不复用其他服务账户（如 apache、mysql）。建议操作步骤：
创建独立用户：
仅赋予对必要目录的读取权限（如静态资源目录）、对日志目录的写入权限（
）
禁止该用户登录、禁止 shell 访问、不分配家目录
检查 Nginx 配置文件、SSL 证书等敏感路径是否被该用户意外可读（如私钥文件权限应为
，属主为 root）
配合文件系统权限与 SELinux/AppArmor 使用
仅靠
指令不够，需协同操作系统级权限控制：
Nginx
在宝塔面板中轻松管理Nginx高性能Web服务器。提供可视化配置反向代理、负载均衡、SSL证书及HTTP缓存功能，一键优化高并发性能，助您高效搭建稳定、快速的网站运行环境。
下载
Web 根目录（如
）应设置为
，属主为 root，属组可设为
，并启用
保证新文件继承组；静态资源文件设为
，脚本类（如 CGI）严格限制执行权限
若启用 SELinux（RHEL/CentOS），确认 Nginx 进程运行在
域，并允许其访问自定义路径（用
和
）
AppArmor（Ubuntu）需更新 profile，显式声明允许读取的路径和网络能力
验证配置生效并持续监控异常行为
修改后务必验证实际运行身份是否符合预期：
重启 Nginx：
检查进程 UID：
，确认 worker 进程显示为指定用户（如
nginx
），而非 root
测试静态文件访问、PHP-FPM 通信、日志写入是否正常；若报
，优先检查路径权限和 selinux 上下文，而非降权回 root
将
配置纳入配置管理（Ansible/Terraform）和上线检查清单，防止人工误改
不复杂但容易忽略——一个正确的 user/group 设置，是 Nginx 安全纵深防御的第一道门。
usergroupuseruser www-data www-data;user nginx nginx;user root root;useradd -r -s /sbin/nologin -d /var/www nginx/var/log/nginx600user/var/www/html755nginxsetgid644httpd_tsemanage fcontextrestoreconnginx -t && systemctl reload nginxps aux | grep nginx | grep -v grepPermission denieduser