公開されたディレクトリインデックス：ファイルサーバーがすべてを一覧表示するとき

ユーザーが管理するディレクトリを配信するserverブロックやlocationブロックで、autoindexディレクティブを削除するか明示的にoffにします。

location /uploads/ {
  autoindex off;
  # Serve individual files but never list directory contents
}

最も安全な対策は、アップロード、バックアップ、ログをWebサーバーがまったく配信しないディレクトリに保存することです。アプリケーションは認証付きのルートを通じてファイルを読み込んでストリーミングするため、ファイルシステム上の生のパスには決して到達できません。

ユーザーのアップロードやバックアップをpublic/ディレクトリに置かないでください。認証を強制し、リクエストされたパスをサニタイズできるAPIルート経由で配信します。

// app/api/uploads/[filename]/route.ts
import { getSession } from "@/lib/auth-session";
import { readFile } from "fs/promises";
import path from "path";

export async function GET(
  _req: Request,
  { params }: { params: { filename: string } }
) {
  const session = await getSession();
  if (!session) return new Response(null, { status: 401 });

  // path.basename prevents directory traversal
  const safe = path.basename(params.filename);
  const filePath = path.join(process.cwd(), "private-uploads", safe);
  const data = await readFile(filePath);
  return new Response(data);
}

閲覧可能なファイルインターフェース（メディアライブラリ、内部ログビューアーなど）が本当に必要な場合は、URLを知られないことに頼るのではなく、認証でパスを保護してください。

location /logs/ {
  autoindex on;
  auth_basic "Internal only";
  auth_basic_user_file /etc/nginx/.htpasswd;
}