1. 项目概述为什么需要一个上传作业平台最近在帮一个朋友处理他们内部培训部门的需求他们经常需要收集学员的作业比如代码文件、设计稿、文档等等。之前一直用网盘或者邮件附件但问题一大堆文件大小限制、命名混乱、过期链接、管理后台复杂。他们需要一个简单、可控、能自己掌握的文件上传服务。我第一个想到的就是 Nginx这个老伙计不仅能做反向代理和负载均衡其实它的ngx_http_dav_module模块配合一些简单的配置就能快速搭建一个支持 WebDAV 协议的文件上传平台。WebDAV 你可能听着有点陌生简单说它就是一个基于 HTTP/HTTPS 的文件管理协议。你可以把它理解成“网络文件夹”支持上传、下载、删除、创建目录等操作。用 Nginx 来实现好处太多了部署极其简单几乎零第三方依赖性能强悍Nginx 本身就以高并发著称权限控制灵活可以结合 Nginx 的auth_basic或auth_request模块做认证最重要的是完全自托管数据安全自己把控。这个方案特别适合中小团队、教育机构或者任何需要临时收集文件的内部场景。接下来我就把从环境准备、配置详解到安全加固的完整过程以及我踩过的坑都详细拆解一遍。2. 核心模块与方案选型解析2.1 为什么是 Nginx WebDAV当决定自建上传平台时我们有几个常见选择用现成的开源网盘系统如 Nextcloud、用对象存储服务商如 S3 兼容接口、或者用 Web 服务器扩展功能。选择 Nginx WebDAV 组合是基于以下几个核心考量极简与可控我们不需要网盘系统复杂的用户管理、在线预览、分享链接等功能。核心诉求就是“传文件”和“下文件”功能越单一系统越稳定维护成本越低。Nginx 配置清晰所有行为都由配置文件定义出了问题排查路径非常直接。性能与资源占用Nginx 以轻量和高并发处理能力闻名。一个纯静态文件服务WebDAV 的 Nginx 进程内存占用很小却能轻松应对数百个并发上传请求。相比之下完整的网盘系统通常包含数据库、PHP/Python 运行时资源消耗和复杂度都上了一个台阶。协议通用性WebDAV 是一个标准协议几乎所有主流操作系统都原生支持。在 Windows 上可以直接“映射网络驱动器”在 macOS 和 Linux 上也能很方便地挂载为 WebDAV 卷。对于最终用户比如交作业的学员来说操作体验和操作本地文件夹几乎无异学习成本为零。同时也有许多优秀的客户端软件如 RaiDrive、Cyberduck支持。无缝集成现有体系如果你们内部已经有 Nginx 作为统一的入口网关那么增加一个location块来提供上传服务几乎是零侵入的。认证也可以复用现有的 HTTP 基础认证或者通过auth_request模块对接内部的统一登录系统。注意Nginx 的 WebDAV 模块默认不支持文件锁LOCK/UNLOCK操作。这意味着它不适合需要严格文件并发写入控制的场景如多人同时编辑一个文档。但对于“上传作业”这种“一次写入多次读取”的场景完全够用。2.2 Nginx 模块准备与编译考量大多数 Linux 发行版的软件源中提供的 Nginx 包默认可能没有包含ngx_http_dav_module模块。我们需要确认并准备。检查现有 Nginx 是否包含 WebDAV 模块nginx -V 21 | grep -o with-http_dav_module如果输出with-http_dav_module那么恭喜你可以直接进入配置阶段。如果没有输出你就需要重新编译 Nginx 加入这个模块或者寻找包含该模块的第三方安装包。编译安装 Nginx 并加入 WebDAV 模块如果你需要从源码编译步骤并不复杂。这里以 Ubuntu 系统为例展示关键步骤# 1. 安装编译依赖 sudo apt update sudo apt install -y build-essential libpcre3 libpcre3-dev zlib1g zlib1g-dev libssl-dev # 2. 下载 Nginx 源码 (以稳定版 1.24.x 为例) wget http://nginx.org/download/nginx-1.24.0.tar.gz tar -zxvf nginx-1.24.0.tar.gz cd nginx-1.24.0 # 3. 配置编译参数关键是要加上 --with-http_dav_module # 这里也建议加上 --with-http_ssl_module 以便后续启用 HTTPS # --with-http_auth_request_module 为高级认证预留 ./configure \ --prefix/usr/local/nginx \ --with-http_ssl_module \ --with-http_dav_module \ --with-http_auth_request_module \ --with-http_stub_status_module # 4. 编译并安装 make sudo make install # 5. 创建系统服务文件方便管理 sudo vim /etc/systemd/system/nginx.service服务文件内容可以参考 Nginx 官方文档进行配置。编译安装的优势是你可以完全自定义模块但缺点是需要自己处理服务管理和后续的升级。对于生产环境我通常更推荐使用官方预编译的包或者像Nginx Official Mainline这样的源它们通常包含了常用模块。3. 基础配置与核心指令详解3.1 最小化可用的 WebDAV 配置让我们从一个最精简、可工作的配置开始。假设我们想将/var/www/uploads目录作为我们的作业仓库并通过https://your-domain.com/dav这个路径来访问。创建或修改 Nginx 的站点配置文件例如/usr/local/nginx/conf/conf.d/upload.confserver { listen 443 ssl; server_name your-domain.com; # SSL 配置这是必须的因为基础认证密码在 HTTP 下是明文传输的 ssl_certificate /path/to/your/cert.pem; ssl_certificate_key /path/to/your/key.pem; # 关闭对非 WebDAV 方法的自动索引提升安全性 autoindex off; location /dav { # 设置 WebDAV 文件存储的根目录 alias /var/www/uploads; # 启用 WebDAV 方法 dav_methods PUT DELETE MKCOL COPY MOVE; # 启用更强大的 WebDAV 扩展方法 dav_ext_methods PROPFIND OPTIONS; # 创建文件时自动创建所需目录 dav_access user:rw group:rw all:r; # 非常重要允许客户端创建目录对应 MKCOL 方法 create_full_put_path on; # 限制客户端上传的文件大小这里设为 100M client_max_body_size 100m; # 启用 HTTP 基础认证 auth_basic Restricted WebDAV; auth_basic_user_file /etc/nginx/.htpasswd; # 限制允许的 HTTP 方法增强安全 limit_except GET HEAD POST PUT DELETE MKCOL COPY MOVE PROPFIND OPTIONS { deny all; } } }这个配置已经可以实现基本的上传、下载、创建文件夹功能。我们来拆解几个关键指令dav_methods: 定义了允许的 WebDAV HTTP 方法。PUT上传/覆盖DELETE删除MKCOL创建集合/目录COPY和MOVE复制和移动。dav_ext_methods: 启用扩展方法PROPFIND用于获取目录文件列表类似lsOPTIONS用于查询服务器支持的功能。没有这个客户端可能无法浏览目录。create_full_put_path: 设为on后当用户上传文件到一个不存在的子目录如/dav/studentA/homework1.zip时Nginx 会自动创建studentA这个目录。这个功能极其方便否则你需要先用MKCOL创建好目录才能上传。client_max_body_size:必设项。Nginx 默认只允许 1M 大小的请求体。不上传则已一上传肯定超限务必根据你的需求调整。auth_basic和auth_basic_user_file: 最简单的认证方式。用户密码文件可以用htpasswd命令生成。3.2 用户认证与权限管理实战基础的 HTTP 认证虽然简单但在生产环境往往不够。下面分享几种更实用的认证和权限方案。1. 多用户与权限文件管理使用htpasswd创建和管理用户# 安装 apache2-utils (Debian/Ubuntu) 或 httpd-tools (RHEL/CentOS) sudo apt install apache2-utils # 创建密码文件并添加第一个用户 teacher sudo htpasswd -c /etc/nginx/.htpasswd teacher # 后续添加用户 studentA不要再用 -c 参数否则会覆盖原文件 sudo htpasswd /etc/nginx/.htpasswd studentA密码文件格式是用户名:加密后的密码。所有用户共享同一个存储目录权限相同。这适合小团队。2. 基于子目录的差异化权限模拟Nginx 的auth_basic本身不支持基于路径的差异化用户权限。但我们可以通过一个“巧妙的”配置来模拟location /dav/teacher_uploads/ { alias /var/www/uploads/teacher_uploads/; dav_methods PUT DELETE MKCOL COPY MOVE; create_full_put_path on; client_max_body_size 500m; # 老师可以传更大的文件 auth_basic Teacher Zone; auth_basic_user_file /etc/nginx/.htpasswd_teachers; # 独立的教师密码文件 } location /dav/student_uploads/ { alias /var/www/uploads/student_uploads/; dav_methods PUT DELETE MKCOL COPY MOVE; create_full_put_path on; client_max_body_size 100m; auth_basic Student Zone; auth_basic_user_file /etc/nginx/.htpasswd_students; # 学生密码文件 # 可以限制学生只有上传权限无删除权限但需客户端配合不完全可靠 # limit_except GET HEAD PUT POST MKCOL { # deny all; # } }这样老师和学生使用不同的账号登录访问不同的顶层目录实现了基础的权限隔离。但要注意这无法防止知道路径的学生直接访问老师的目录 URL因为认证是独立的。更严格的隔离需要将目录物理分开并用不同的server块或端口。3. 集成外部认证高级对于需要对接 LDAP、数据库或统一 SSO 的场景可以使用ngx_http_auth_request_module模块。它允许 Nginx 将一个子请求发送到内部的认证服务根据其返回的 HTTP 状态码如 200 成功401 或 403 失败来决定是否允许访问。location /dav { # ... 其他 WebDAV 配置 ... auth_request /auth; auth_request_set $auth_status $upstream_status; } location /auth { internal; # 此接口只接受内部请求 proxy_pass http://your-auth-service/check; # 你的认证服务端点 proxy_pass_request_body off; # 不转发请求体通常只需要请求头 proxy_set_header Content-Length ; proxy_set_header X-Original-URI $request_uri; }这种方案最为灵活可以将复杂的用户-目录权限逻辑放在专门的认证服务中实现。4. 高级配置与性能优化4.1 大文件上传与超时处理上传作业特别是视频、设计源文件动辄几百兆。默认配置下很容易出错。关键配置项location /dav { # ... WebDAV 核心配置 ... client_max_body_size 1024m; # 根据需求调整例如 1G # 代理或后端上传超时设置如果 Nginx 前方还有代理这里也很关键 proxy_connect_timeout 300s; proxy_send_timeout 300s; proxy_read_timeout 300s; # FastCGI 相关超时如果用了 PHP 等动态处理但纯 WebDAV 通常不需要 # fastcgi_connect_timeout 300s; # fastcgi_send_timeout 300s; # fastcgi_read_timeout 300s; # 客户端请求超时 client_body_timeout 300s; send_timeout 300s; }client_max_body_size必须大于你预计的最大文件。这个指令不仅要在location /dav里设置如果 Nginx 配置中有http或server块也设置了此值且更小则以最小的为准。最好在http块也设一个较大的默认值。超时设置大文件上传网速慢需要延长超时时间。client_body_timeout指客户端发送请求体的超时send_timeout是服务器向客户端发送响应的超时。实操心得我曾经遇到一个坑client_max_body_size在location里设了 100M但server块里忘了设默认是 1M导致一直报413 Request Entity Too Large。排查了半天才发现。所以务必在http、server、location三个层级都检查一遍这个值。4.2 浏览器直接访问与目录列表美化默认情况下通过浏览器访问 WebDAV 地址如https://your-domain.com/dav如果目录下有index.html等索引文件会显示该文件。如果没有并且autoindex是off我们为了安全建议关闭浏览器可能会下载一个包含 XML 内容的文件这是PROPFIND请求的响应体验很差。我们可以通过一个简单的“跳板”location来改善体验# 根路径或特定路径提供一个友好的前端页面或重定向 location /submit { # 这里可以放一个简单的静态 HTML 表单页引导用户使用 WebDAV 客户端 alias /var/www/submit_guide; index index.html; } # 原有的 WebDAV 配置保持不变 location /dav { # ... 原有 WebDAV 配置 ... # 可以额外添加一个头部提示客户端类型 add_header X-WebDAV-Supported true always; }然后在/var/www/submit_guide/index.html里你可以写一个简单的说明页告诉用户“请使用系统自带的‘映射网络驱动器’功能Windows或‘连接服务器’功能macOS地址填写https://your-domain.com/dav”并附上图文教程。这样体验就友好多了。4.3 日志与监控配置清晰的日志对于排查上传失败、权限问题至关重要。http { # 定义一个专门的日志格式包含 WebDAV 相关有用信息 log_format webdav $remote_addr - $remote_user [$time_local] $request $status $body_bytes_sent $http_referer $http_user_agent $http_x_forwarded_for DAV_METHOD: $request_method DAV_DEST: $destination; server { listen 443 ssl; server_name your-domain.com; access_log /var/log/nginx/webdav.access.log webdav; error_log /var/log/nginx/webdav.error.log warn; location /dav { # ... 其他配置 ... # 可以为这个 location 单独指定错误日志级别 error_log /var/log/nginx/webdav_dav.error.log debug; } } }自定义的webdav日志格式里我特意加入了$request_method记录 PUT, DELETE, MKCOL 等和$destination头在COPY和MOVE操作中会包含目标地址这对审计非常有用。监控磁盘空间上传平台最怕磁盘写满。除了系统监控可以在 Nginx 配置中做一个简单的预防location /dav { # ... 其他配置 ... # 这是一个“笨办法”但有时有效如果目录所在分区使用率超过95%返回503错误 # 需要借助 $upstream_response_status 和 error_page但更推荐在操作系统层面用监控脚本nginx -s reload 来动态修改配置或返回错误页。 }更务实的做法是写一个 Shell 监控脚本定时检查/var/www/uploads所在分区的使用率超过阈值则自动清理旧文件或发送告警。5. 客户端连接与使用指南5.1 Windows 系统连接指南Windows 原生支持 WebDAV可以通过“映射网络驱动器”来连接体验如同本地硬盘。打开“此电脑”点击顶部菜单的“计算机” - “映射网络驱动器”。选择驱动器号如 Z:。输入文件夹地址https://your-domain.com/dav注意是https。千万不要勾选“使用其他凭据连接”我们下一步输入。点击“完成”系统会弹出登录窗口。输入你在.htpasswd文件中设置的用户名和密码并可以勾选“记住我的凭据”。连接成功后就可以在“此电脑”里看到新增的网络驱动器 Z:你可以直接拖拽文件进去上传或者从里面复制文件出来。踩坑记录Windows 10/11 对自签名 SSL 证书或非权威 CA 签发的证书可能非常严格直接连接会报错“无法访问此文件夹… 你可能没有权限…”。解决方法有两个一是为你的域名申请一个免费的信任证书如 Let‘s Encrypt二是在客户端计算机上手动将你的服务器证书导入到“受信任的根证书颁发机构”仅限内部测试环境。5.2 macOS 与 Linux 系统连接指南macOS:在 Finder 中点击菜单栏的“前往” - “连接服务器…”(或按CmdK)。服务器地址输入https://your-domain.com/dav。点击“连接”选择“注册用户”输入用户名和密码。连接成功后服务器会像一块移动硬盘一样显示在 Finder 侧边栏和桌面上。Linux (GNOME桌面):打开“文件”管理器。在左侧栏找到“其他位置”。在底部“连接到服务器”输入框输入davs://your-domain.com/dav(注意协议是davs代表 HTTPS)。输入用户名密码即可挂载。命令行工具cadaver: 对于服务器管理员或喜欢命令行的用户cadaver是一个极佳的 WebDAV 客户端。# 安装 sudo apt install cadaver # 连接 cadaver https://your-domain.com/dav # 输入用户名密码后会进入一个类似 FTP 的交互界面 # 常用命令 # ls: 列出目录 # put local-file.txt: 上传文件 # get remote-file.txt: 下载文件 # mkdir newfolder: 创建目录 # rm file.txt: 删除文件 # quit: 退出5.3 常见客户端问题排查错误“无法创建文件夹”或“无权在此位置粘贴”原因最可能的是dav_methods中没有包含MKCOL或者create_full_put_path设置为off。也可能是目标目录的 Nginx 进程用户通常是www-data或nginx没有写入权限。排查检查 Nginx 配置。使用ls -la /var/www/uploads检查目录所有者和权限确保 Nginx 用户有写权限例如chown -R www-data:www-data /var/www/uploads。错误“文件过大”或上传中途断开原因client_max_body_size设置过小或各类超时时间client_body_timeout,proxy_*_timeout等设置过短。排查查看 Nginx 错误日志 (error_log)。413 错误对应请求体过大504 超时对应后端处理超时。逐一调大相关配置参数。错误Windows 提示“找不到网络路径”或“密码错误”原因Windows 的 WebClient 服务未启动或者使用了错误的认证方式。排查在“服务”管理器中确保“WebClient”服务状态为“正在运行”启动类型为“自动”。在映射驱动器时确保输入的地址是https://开头并且弹出的登录窗口输入的是正确的 HTTP 基础认证账号密码不是 Windows 系统账号。6. 安全加固与生产环境部署建议一个对外服务的上传平台安全是重中之重。以下是我在部署生产环境时会做的几件事。6.1 基础安全配置强制 HTTPSWebDAV 协议中HTTP 基础认证的密码是 Base64 编码近乎明文传输的必须使用 HTTPS 加密。配置中监听 443 端口并考虑将 HTTP 80 端口重定向到 HTTPS。server { listen 80; server_name your-domain.com; return 301 https://$server_name$request_uri; }限制 HTTP 方法我们已经使用了limit_except来限制允许的方法。这是防止恶意请求利用其他方法如TRACE进行攻击的好习惯。隐藏 Nginx 版本信息在http块或server块中设置server_tokens off;避免在错误页中泄露 Nginx 版本。使用强密码htpasswd默认使用crypt()加密强度一般。生成密码时可以使用-B参数强制使用 bcrypt更安全但需要 Nginx 支持或者使用-d使用 crypt()。至少保证密码长度和复杂度。6.2 防滥用与流量控制按 IP 限制连接和请求速率防止某个 IP 恶意刷上传或暴力破解密码。http { # 定义一个限制区每秒最多10个请求突发不超过20个 limit_req_zone $binary_remote_addr zonewebdav_limit:10m rate10r/s; # 定义一个连接数限制区每个IP最多10个并发连接 limit_conn_zone $binary_remote_addr zonewebdav_conn:10m; } server { location /dav { # 应用请求速率限制 limit_req zonewebdav_limit burst20 nodelay; # 应用并发连接数限制 limit_conn webdav_conn 10; # 限制每个连接的下载/上传速率 (可选) # limit_rate 500k; # 单个连接限速500KB/s # ... 其他配置 ... } }文件类型过滤黑名单/白名单Nginx 本身很难在 WebDAV 层面做精细的文件内容类型检查但可以通过$request_filename变量对上传的文件名后缀进行粗略过滤。location /dav { # ... 其他配置 ... # 黑名单示例禁止上传 .php, .sh, .exe 等可执行文件 if ($request_filename ~* \.(php|sh|exe|bat|cmd)$) { return 403; } # 白名单示例只允许上传特定类型的作业文件 # if ($request_filename !~* \.(zip|rar|pdf|docx|pptx|jpg|png)$) { # return 403; # } }警告Nginx 的if指令在location上下文中有一些“坑”使用时要小心。上述过滤仅基于文件名很容易被绕过如 file.php.jpg。更安全的做法是在文件上传后通过外部脚本如 inotifywait 监控目录变化进行病毒扫描和类型校验。6.3 数据备份与清理策略定期备份使用rsync或rclone将/var/www/uploads目录同步到另一台服务器或对象存储。# 简单的 rsync 备份脚本示例 #!/bin/bash BACKUP_DIR/backup/uploads/$(date %Y%m%d) mkdir -p $BACKUP_DIR rsync -avz --delete /var/www/uploads/ $BACKUP_DIR/ # 然后可以将此脚本加入 crontab自动清理旧文件作业平台通常不需要永久存储文件。写一个定时任务cron job定期删除超过一定天数的文件。# 删除 /var/www/uploads 下超过30天的文件 find /var/www/uploads -type f -mtime 30 -delete # 删除空目录 find /var/www/uploads -type d -empty -delete注意-delete操作非常危险务必先在测试环境验证命令。可以先使用-ls代替-delete查看哪些文件会被删除。6.4 高可用与扩展性思考对于非常重要的上传服务单点 Nginx 可能存在风险。高可用可以考虑在两台服务器上部署相同的 Nginx WebDAV 服务使用 Keepalived 实现 VIP虚拟 IP漂移或者在前端用负载均衡器如 HAProxy、云负载均衡进行流量分发。共享存储如果有多台 Nginx 服务器后端存储/var/www/uploads必须是一个共享存储例如 NFS、GlusterFS或者使用对象存储的 S3 协议兼容层如 MinIO作为后端Nginx 通过proxy_pass将请求转发到对象存储。但这需要更复杂的配置可能超出了纯 Nginx WebDAV 的范畴。7. 故障排查与日常维护清单即使配置得当运行中也可能遇到问题。这里列一个快速排查清单。问题一上传文件失败Nginx 返回 413 错误。检查确认client_max_body_size在http,server,location三个层级都已正确设置且值足够大。检查客户端实际上传的文件大小是否超出限制。问题二上传大文件时连接超时或中断。检查调整client_body_timeout,send_timeout,proxy_*_timeout等参数适当增大。检查网络环境是否稳定是否存在防火墙或代理中断了长连接。问题三客户端可以连接但无法创建目录或上传文件到子目录。检查dav_methods是否包含MKCOL。检查create_full_put_path是否设置为on。检查Nginx 进程用户通过ps aux | grep nginx查看对/var/www/uploads及其所有父目录是否有写权限rwx。问题四通过浏览器访问/dav路径下载了一个乱码的 XML 文件。原因这是正常现象。浏览器直接发起的是PROPFIND请求返回的是 WebDAV 协议格式的 XML 目录列表。浏览器无法像 WebDAV 客户端那样解析它。解决按照 4.2 节的建议做一个引导页面教育用户使用正确的客户端连接方式。问题五日志中频繁出现 401 认证失败但密码确认正确。检查密码文件路径是否正确Nginx 是否有读取权限。检查密码文件中该用户的密码哈希是否损坏可以尝试用htpasswd -v验证。检查是否使用了 HTTPSHTTP 下某些客户端可能拒绝发送基础认证凭据。日常维护命令nginx -t在修改配置文件后务必运行此命令测试语法是否正确。nginx -s reload平滑重载配置不会中断现有连接。tail -f /var/log/nginx/webdav.access.log实时查看访问日志监控上传活动。du -sh /var/www/uploads快速查看上传目录总大小。df -h检查磁盘空间使用情况避免写满。搭建这样一个平台从配置到上线可能只需要一两个小时但它带来的便利性和自主可控性是第三方服务难以比拟的。最关键的是理解 WebDAV 协议的工作方式以及 Nginx 各个指令的相互作用。遇到问题多查日志思路清晰地按网络层、配置层、权限层去排查大部分问题都能迎刃而解。