上传小图没问题，一换大文件就收到500。若错误日志同时出现临时文件的Permission denied，先查Nginx把请求体写到了哪里。这条线索能帮你避开反复调上传大小上限的弯路。
为什么只有较大的请求失败
当请求体超过client_body_buffer_size，Nginx可能将全部或部分请求体写入临时文件。写入位置由client_body_temp_path决定。同一个接口的小请求能成功，不能证明工作进程可写临时目录。
这是客户端请求体的缓冲。看到日志路径位于proxy_temp等响应临时目录时，应另按响应方向定位。client_max_body_size超限则会返回413，也要和这里的500区分。
从报错找出实际路径和身份
按失败时间核对Nginx错误日志，记录open()或mkdir()后面的路径和系统错误。用sudo nginx -T核对生效的虚拟主机、位置块、user及缓冲指令。输出可能包含敏感配置，别整份贴到工单里。
用ps -eo user,group,args | grep "[n]ginx: worker process"确认实际工作进程身份，用namei -l /实际/临时路径检查各级目录。需要能穿过父目录，且能在目标目录写入。容器内应从实际运行的容器看身份和挂载。
按具体错误修复
遇到权限拒绝，优先恢复发行版预期的目录属主和模式，或为该实例准备一处专用目录；需要新建时可用sudo install -d -o nginx -g nginx -m 0700 /var/cache/nginx/client_body，账户名与路径先替换成实际值，并确认服务的安全策略允许访问。
遇到No space left on device，用df -h和df -i查目标所在文件系统的空间和inode。只读挂载或强制访问控制拒绝要修对应限制。不要给整个缓存树设置777，也不要删除仍在使用的临时文件。
缓冲配置怎么取舍
需要自定义时，在合适的配置上下文设置client_body_temp_path /var/cache/nginx/client_body;，先运行sudo nginx -t，通过后再按系统方式平滑重载。不要通过一味提高client_body_buffer_size掩盖故障；并发上传会放大内存开销。
修完拿两种文件验收
在萤光云或LightNode的隔离实例，可用两个大小不同的无敏感数据文件验证：一个小于缓冲值，另一个高于缓冲值但低于上传上限。验收要确认大文件到达应用、大小或校验值正确，且没有新的临时目录报错。
FAQ
日志只说缓冲到临时文件，算故障吗？ 文件落盘可以是正常行为；看后面是否还有写入失败。
上传报413也改目录吗？ 先检查生效的请求体大小上限。
root可写就够吗？ 用工作进程身份和实际安全上下文判断。
可以换到/tmp吗？ 优先使用服务专用目录，兼顾隔离、容量和清理策略。
语法测试通过为何还会失败？ 配置能解析，不代表运行时所有目录和挂载均可写。
温馨提示
记录失败路径、工作进程身份和调整前的权限。日后镜像或系统升级再遇到类似问题，可以先和这份基线对照。
