열린 디렉터리 인덱스: 파일 서버가 모든 것을 나열할 때

사용자가 제어하는 디렉터리를 제공하는 server 또는 location 블록에서 autoindex 디렉티브를 제거하거나 명시적으로 off로 설정하세요.

location /uploads/ {
  autoindex off;
  # Serve individual files but never list directory contents
}

가장 안전한 해결책은 업로드, 백업, 로그를 웹 서버가 전혀 제공하지 않는 디렉터리에 저장하는 것입니다. 애플리케이션은 인증된 라우트를 통해 파일을 읽고 스트리밍하므로 파일 시스템의 원래 경로에는 절대 도달할 수 없습니다.

사용자 업로드나 백업을 public/ 디렉터리에 두지 마세요. 인증을 강제하고 요청된 경로를 정제할 수 있는 API 라우트를 통해 제공하세요.

// app/api/uploads/[filename]/route.ts
import { getSession } from "@/lib/auth-session";
import { readFile } from "fs/promises";
import path from "path";

export async function GET(
  _req: Request,
  { params }: { params: { filename: string } }
) {
  const session = await getSession();
  if (!session) return new Response(null, { status: 401 });

  // path.basename prevents directory traversal
  const safe = path.basename(params.filename);
  const filePath = path.join(process.cwd(), "private-uploads", safe);
  const data = await readFile(filePath);
  return new Response(data);
}

탐색 가능한 파일 인터페이스(미디어 라이브러리, 내부 로그 뷰어 등)가 정말 필요하다면, 경로를 숨기는 데 의존하지 말고 인증으로 보호하세요.

location /logs/ {
  autoindex on;
  auth_basic "Internal only";
  auth_basic_user_file /etc/nginx/.htpasswd;
}