nginx文件服务器配置的核心就三件事开启autoindex目录列表、正确设置root或alias路径映射、以及通过location块做访问权限控制，只要掌握这三个配置要点，一台普通的Linux服务器就能变成稳定高效的文件下载站。
nginx文件服务器配置教程：从零搭建静态资源下载站
nginx在文件服务器领域的地位相当稳固,相较于Apache的传统目录服务，nginx处理静态文件的性能优势明显，内存占用也更低，这也是大多数云厂商默认选用nginx作为静态资源网关的原因，下面这份配置方案，以CentOS 7.9 + nginx 1.24版本为例，兼容主流Linux发行版。
基础配置：开启目录列表功能
nginx默认是不展示目录结构的,访问http://服务器IP/会返回403或index.html，要让nginx变成文件服务器，核心指令是autoindex，在server块或location块中加入以下配置：
server {
listen 80;
server_name _;
root /data/files; # 文件存放目录
autoindex on; # 开启目录列表
autoindex_exact_size off; # 显示人性化大小（KB、MB）
autoindex_localtime on; # 显示服务器本地时间
charset utf-8; # 解决中文文件名乱码
}autoindex_exact_size off 这个参数很实用，默认显示字节数，非技术人员看着费劲，关掉后自动转换成更易读的容量单位。charset utf-8 则专门处理中文文件名显示乱码的问题，国内服务器上基本是必配项。
root与alias：两种路径映射的区别
配置静态文件服务时,路径映射方式直接决定目录结构能否正确暴露。root和alias的差异，是nginx配置里最容易被新手搞混的点。
| 指令 | 处理逻辑 | 适用场景 |
|---|---|---|
| root | 完整拼接URL路径到root指定目录后 | 文件按原目录结构存放 |
| alias | 将location匹配的部分替换为alias路径 | 文件实际存放路径与URL不一致 |
实际配置举例：
# 使用root：URL中的/download必须存在于/data/files目录下
location /download {
root /data/files;
}
# 使用alias：URL中的/download映射到真实路径/mnt/storage
location /download {
alias /mnt/storage;
}使用root时，nginx会将完整的请求路径拼接到root目录后，比如访问/download/test.zip，nginx查找的是/data/files/download/test.zip，而alias会把/download/这部分直接替换掉，访问/download/test.zip时查找的是/mnt/storage/test.zip，如果你的文件散落在不同磁盘分区，用alias做跨目录映射会更灵活。
nginx文件服务器配置方法：安全加固与访问控制
文件服务器暴露在公网上,安全是绕不开的话题，纯静态目录列表意味着所有文件可被直接下载，配置不当会带来目录穿越、流量盗刷等风险，下面这些加固手段，是行业内比较通行的做法。
限制下载速度与并发连接
单个大文件被反复下载会占满出口带宽,通过limit_rate和limit_conn做限速，能有效保护服务器资源：
location /download/ {
limit_rate 500k; # 单连接限速500KB/s
limit_conn addr 3; # 同一IP最多3个并发连接
limit_conn_log_level warn;
}对于视频、安装包这类大文件，建议将限速值设置在1MB/s左右，既不影响正常用户体验，又能防止带宽被恶意占满。
目录穿越防护与符号链接保护
nginx对目录穿越的防御相对完善,但需要确认两点：一是location块中不要使用alias配合不规范的location匹配规则；二是开启disable_symlinks防止符号链接绕过限制：
location /download {
alias /data/files;
disable_symlinks if_not_owner; # 禁止跟随非文件所有者创建的符号链接
}disable_symlinks指令在生产环境中验证有效，某些攻击者会在服务器上创建指向/etc或/root的符号链接，这个配置能直接切断这条路径。
通过nginx文件服务器配置实现账号密码保护
不需要所有文件都公开下载时,用htpasswd做Basic认证是最轻量的方案：
# 生成密码文件（需要安装httpd-tools）
htpasswd -c /etc/nginx/.htpasswd admin
# nginx配置
location /private/ {
auth_basic "Restricted Area";
auth_basic_user_file /etc/nginx/.htpasswd;
}Basic认证虽然简单，但密码是base64明文传输，如果要暴露到公网，建议配HTTPS使用，否则密码很容易被截获。
nginx静态文件服务器配置方法：处理高频坑点与性能调优
静态文件服务跑起来容易,跑得稳需要多调几个参数，以下问题在配置过程中出现的频率相当高，提前规避能省不少排查时间。
sendfile与tcp_nopush：传输性能的关键
默认配置下nginx从磁盘读取文件再拷贝到socket,这个流程里sendfile能大幅减少内存拷贝次数：
sendfile on;
tcp_nopush on;
tcp_nodelay on;sendfile on 启用零拷贝机制，文件直接从磁盘发送到网卡，nginx进程不参与数据传输。tcp_nopush 则配合sendfile将响应头和数据包整合发送，减少小包数量，对大量小文件下载场景提升明显。
MIME类型配置：解决下载文件变成乱码
访问.apk、.ipa、.exe等文件时，浏览器可能会直接打开或乱码，而不是触发下载，原因在于nginx默认MIME类型映射不全：
include mime.types;
default_type application/octet-stream; # 未匹配到的类型一律作为二进制流下载
# 手动补充常见文件类型
types {
application/vnd.android.package-archive apk;
application/octet-stream ipa;
application/x-msdownload exe msi;
}default_type application/octet-stream 这个兜底配置很关键，它确保所有未识别文件都以附件形式下载，而不是被浏览器解析。
跨域访问配置：对接前端业务
文件服务器经常需要被其他域名的页面引用,开启CORS支持只需要几行：
location /download/ {
add_header Access-Control-Allow-Origin ;
add_header Access-Control-Allow-Methods GET, HEAD, OPTIONS;
add_header Access-Control-Expose-Headers Content-Length;
}如果文件需要防盗链,把替换为具体域名即可。
日志切割与访问统计
文件服务器的访问日志能反映下载情况,但长期不切割会让日志文件膨胀到几个GB，用logrotate做按天切割：
/data/logs/nginx/access.log {
daily
rotate 30
compress
missingok
notifempty
sharedscripts
postrotate
[ -f /var/run/nginx.pid ] && kill -USR1 `cat /var/run/nginx.pid`
endscript
}这条规则会保留30天日志并按天压缩,nginx在切割后通过USR1信号重新打开日志文件。
nginx文件服务器配置常见问题解答
配置了autoindex on为什么访问目录还是403？
403通常由两个原因导致：一是root目录的权限不足，nginx进程用户（一般为nginx或www-data）没有读取权限，执行chmod -R 755 /data/files即可解决；二是目录下存在index.html文件，nginx优先加载索引页而非目录列表，删除或注释掉index index.html指令即可。
nginx文件服务器配置完成后中文文件名显示乱码怎么处理？
在server块或location块中添加charset utf-8;，如果仍然乱码，检查文件系统编码格式，Linux ext4默认UTF-8编码，而Windows上传的文件可能是GBK，这种情况需要先将文件名转码为UTF-8。
用nginx搭建文件下载服务器和直接用HTTP服务器软件相比，性能差异大吗？
nginx处理静态文件的能力在Web服务器中处于第一梯队,单机并发数轻松突破万级，业界共识认为，nginx在静态资源处理方面比Node.js和Python的简易HTTP服务器高出一个数量级，与Apache相比内存占用更低，吞吐量更优，这也是目前大多数软件镜像站和更新服务器采用nginx作为底层服务的原因。