为什么用404禁止软件下载，而不是直接删除文件

下载拦截规则应先明确限制范围，再选择按目录、按扩展名或按接口处理，否则容易误伤网站附件、后台更💯新包和正常页面资源。

Nginx 按下载目录拦截适合资源位置固定的站点，目录内的文件不论后缀是什么都会返回404。

动态下载接口是许多“文件仍然能下载”问题的根源，因为请求地址可能是 download?id=123、file/name 或无后缀路径，静态文件扩展名规则对此没有作用。

404禁止软件下载常见问题排查

如果下载文件由程序接口动态输出，仅屏蔽文件后缀并不能真正阻止下载，必须同时检查下载接口、文件存储路径、缓存节点和历史链接。HTTP 404 适合隐藏资源是否存在，HTTP 403 更适合明确表示“有资源但无权限访问”，两者不能混用。

Nginx 按文件类型拦截适合多个目录都🎯存在安装包或压缩包的站点，下面的扩展名仅作为示例，应根据实际业务增删。

页面显示404而文件仍能下载，通常说明测试请求和实际下载请求不是同一个入口。检查浏览器开发者工具中的 Network 请求，确认真正返回文件的是页面链接、JavaScript 接口、iframe、对象存储地址还是 CDN 地址。

页面显示404但文件依然能下载

服务器返回404不会让已经下载到用户设备中的文件失效，也无法阻止用户复制已公开的安装包。需要限制传播时，还应控制文件权限、下载身份、签名参数和链接有效期。

文件扩展名规🎨则只匹配请求路径，不一定能识别没有后缀的下载接口。带查询参数的请求通常仍以路径参与匹配，因此不能把参数名当成文件类型判断依据。

部分文件被拦截，部分文件仍可访问

要实现404禁止软件下载，核心做法是让服务器在请求进入文件读取或下载响应之前，直接对指定目录、文件扩展名或下载接口返回 HTTP 404。常见配置对象包括 exe、msi、apk、dmg、zip、rar、7z 等文件，也可以只限制某一个下载目录。

目录路径需要替换为真实的公开下载目录，末尾斜杠和目录层级也要与实际请求保持一致。使🌺用更高优先级的 location 时，应确认没有其他规则提前把请求转发给应用或文件服务。

动态下载接口和缓存节点不能漏掉

404禁止软件下载的实际目的，通常不是删除服务器上的安装包，而是阻断外部请求并减少资源暴露。保留文件可以方便后台管理、版本回滚或内部发布，但公开请求会在 Web 服务器层被拦截。

服务器规则没有生效时🔮，✅优先确认配置文件是否被当前站点加载，以及请求是否经过了另一台 Web 服务器。

如果站点允许用户上传文件，不能只按文件名后缀判断风险。攻击者可能上传无后缀脚本、伪造 MIME 类型文件或利用程序解析漏洞，上传目录应禁止脚本🎉执行，并配合文🌅件权限和内容校验。