Nginx應對Permission denied和File not found的配置

13: Permission denied
前段時間把程序員的wordpress升級到3.5.1，本身如果沒有特別的插件，在后臺更新就能完成。

更新完成后在后臺發布文章，編輯器不能點擊可視化標簽，只能顯示html標簽，看了下js控制臺提示ReferenceError: tinyMCE is not defined 3.5。

直覺以為升級哪里有問題，簡單粗暴的重裝了，可是還是不行，這時候就覺得可能是nginx哪里配置的問題了。

查看了一下日志文件，發現有下面的錯誤提示：

2013/03/13 01:22:17 [crit] 3331#0: *10 open() "/usr/local/lnmp/nginx/fastcgi_temp/3/00/0000000003" failed (13: Permission denied) while reading upstream, client: 124.42.13.230, server: 264.cn, request: "GET /wp-admin/load-scripts.php?c=0&load%5B%5D=jquery,utils,plupload,plupload-html5,plupload-flash,plupload-silverlight,plupload-html4,json2&ver=3.5.1 HTTP/1.1", upstream: "fastcgi://127.0.0.1:9000", host: "264.cn", referrer: "http://www.nginx.cn/wp-admin/post-new.php"

很明瀏覽器只加載了部分頁面，原因是Permission denied。

首先確認工作進程(worker process)的用戶:

檢查配置文件nginx.conf的user指令

user www-data;

后者執行命令

#ps aux | grep "nginx: worker process" | awk '{print $1}'

www-data

都可以得到nginx工作進程的運行用戶

檢查nginx的proxy_temp目錄的所有者，

drwx------ 2 root root  4096 Mar 3 03:28 proxy_temp

可以看到proxy_temp的所有者不是www-data，修改目錄所有者為www-data即可。

chown -R www-data:www-data proxy_temp

通過以上的步驟，wordpress就可以正常的顯示，不會出現后臺的js錯誤了。

分析下failed (13: Permission denied) while reading upstream問題的原因

首先看一下nginx 反向代理參數說明

proxy_connect_timeout 600; #nginx跟后端服務器連接超時時間(代理連接超時)
proxy_read_timeout 600; #連接成功后，后端服務器響應時間(代理接收超時)
proxy_send_timeout 600; #后端服務器數據回傳時間(代理發送超時)
proxy_buffer_size 32k; #設置代理服務器（nginx）保存用戶頭信息的緩沖區大小
proxy_buffers 4 32k; #proxy_buffers緩沖區，網頁平均在32k以下的話，這樣設置
proxy_busy_buffers_size 64k; #高負荷下緩沖大?。╬roxy_buffers*2）
proxy_temp_file_write_size 64k; #設定緩存文件夾大小，大于這個值，將從upstream服務器傳

問題就出在proxy_temp_file_write_size上，當你的文件超過該參數設置的大小時，nginx會先將文件寫入臨時目錄(缺省為nginx安裝目下/proxy_temp目錄),

如果nginx對prxoy_temp沒有權限就會寫不進去，結果就是只顯示部分頁面。

我遇到這個案例用工具查看了一下，post-new.php這個頁面大小事94，超過了64k就要符合我們上面的分析。

File not found 錯誤
使用php-fpm解析PHP，"No input file specified"，"File not found"是令nginx新手頭疼的常見錯誤，原因是php-fpm進程找不到SCRIPT_FILENAME配置的要執行的.php文件，php-fpm返回給nginx的默認404錯誤提示。

比如我的網站doucument_root下沒有test.php，訪問這個文件時通過抓包可以看到返回的內容。

HTTP/1.1 404 Not FoundDate: Fri, 21 Dec 2012 08:15:28 GMTContent-Type: text/htmlProxy-Connection: closeServer: nginx/1.2.5X-Powered-By: PHP/5.4.7Via: 1.1 c3300 (NetCache NetApp/6.0.7)Content-Length: 16File not found.

很多人不想用戶直接看到這個默認的404錯誤信息，想自定義404錯誤.

給出解決辦法前我們來先分析下如何避免出現這類404錯誤，然后再說真的遇到這種情況(比如用戶輸入一個錯誤不存在的路徑)時該怎么辦，才能顯示自定義的404錯誤頁。

一、錯誤的路徑被發送到php-fpm進程
出現這類錯誤，十個有九個是后端fastcgi進程收到錯誤路徑(SCRIPT_FILENAME)，而后端fastcgi收到錯誤路徑的原因大都是配置錯誤。

常見的nginx.conf的配置如下：

server {  listen  [::]:80;  server_name example.com www.example.com;  access_log /var/www/logs/example.com.access.log;   location / {    root  /var/www/example.com;    index index.html index.htm index.pl;  }  location /images {    autoindex on;  }  location ~ .php$ {    fastcgi_pass  127.0.0.1:9000;    fastcgi_index index.php;    fastcgi_param SCRIPT_FILENAME /var/www/example.com$fastcgi_script_name;    include fastcgi_params;  }}

這個配置中有很多不合理的地方，其中一個明顯的問題就是root指令被放到了location / 塊。如果root指令被定義在location塊中那么該root指令只能對其所在的location生效。其它locaiont中沒有root指令，像location /images塊不會匹配任何請求，需要在每個請求中重復配置root指令來解決這個問題。因此我們需要把root指令放在server塊，這樣各個location就會繼承父server塊定義的$document_root，如果某個location需要定義一個不同的$document_root，則可以在location單獨定義一個root指令。

另一個問題就是fastCGI參數SCRIPT_FILENAME 是寫死的。如果修改了root指令的值或者移動文件到別的目錄，php-fpm會返回“No input file specified”錯誤，因為SCRIPT_FILENAME在配置中是寫死的并沒有隨著$doucument_root變化而變化，我們可以修改SCRIPT_FILENAME配置如下：

fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;

所以我們不能忘記在server塊中配置root指令，不然$document_root的值為空，只會傳$fastcgi_script_name到php-fpm，這樣就會導致“No input file specified”錯誤。

二、請求的文件真的不存在
當nginx收到一個不在的.php文件的請求時,因為nginx只會檢查$uri是否是.php結尾，不會對文件是否存在進行判斷，.php結尾的請求nginx會直接發給php-fpm處理。php-fpm處理時找不到文件就會返回“No input file specified”帶著“404 Not Found”頭。

解決辦法
我們在nginx攔截不存在的文件，請求并返回自定義404錯誤

使用 try_files 捕捉不存在的urls并返回錯誤。

location ~ .php$ { try_files $uri =404; fastcgi_pass 127.0.0.1:9000; fastcgi_index index.php; fastcgi_param SCRIPT_FILENAME .... ................................... ...................................}

上面的配置會檢查.php文件是否存在，如果不存在，會返回404頁面。