403 Forbidden 错误源于 Nginx worker 进程无权读取静态资源，需同步校准运行用户、路径位置（避免/root等受限目录）及SELinux策略，并确保index文件存在且配置匹配。
403 Forbidden 错误在 Nginx 中常因权限配置不当引发，核心问题不是“文件没放对”，而是“Nginx 工作进程压根没资格读取它”。解决的关键在于让 Nginx 的 worker 进程能合法访问静态资源目录，尤其要注意用户身份、路径位置和系统级限制三者协同。
确认 nginx 实际运行用户
Nginx 主进程可能由 root 启动，但真正处理请求的是 worker 进程，其身份由 nginx.conf 开头的 user 指令决定。常见默认是：
-
user nobody;（权限极低，无法进入 /root、/home 等受保护目录） -
user nginx;或user www-data;（取决于系统发行版）
执行命令查看真实 worker 用户：
ps aux | grep "nginx: worker process" | awk '{print $1}'再对比 nginx.conf 中的 user 行是否一致。不一致就直接改配置——这是最常见也最有效的切入点。
避免将网站文件放在受限路径下
/root、/home/xxx 这类目录默认禁止其他用户（包括 nobody、nginx）遍历访问，即使 chmod 755 也无效。Linux 内核级限制优先于文件权限。
- ✅ 推荐做法：把 dist 或 html 目录移到开放路径，如
/var/www/webui、/opt/webui或/usr/share/nginx/html - ❌ 避免做法：坚持使用
/root/webui、/home/deploy/app等路径
移完后记得用 chown -R nginx:nginx /var/www/webui（或对应用户）确保归属一致，并用 chmod -R 755 /var/www/webui 开放读取权限。
检查 SELinux 是否拦截（CentOS/RHEL 系统）
SELinux 是 Linux 安全模块，默认启用时会额外限制 Nginx 访问文件，哪怕权限和用户都正确，也可能报 403。
- 查状态：getenforce（返回
Enforcing即开启） - 临时关闭：setenforce 0（验证是否为 SELinux 导致）
- 永久关闭（生产环境慎用）：编辑
/etc/selinux/config，把SELINUX=enforcing改为disabled，重启生效
更稳妥的方式是保留 SELinux 并打标签：semanage fcontext -a -t httpd_sys_content_t "/var/www/webui(/.*)?"，再执行 restorecon -Rv /var/www/webui。
补充验证点：index 文件与目录可索引性
即使路径和权限都没问题，以下两点也会触发 403：
-
location /块中指定了index index.html;，但目标目录下没有该文件（注意大小写、扩展名） - 目录本身不可被列示，且未配置
autoindex off;（默认即 off），又没匹配到任何index文件，Nginx 就会拒绝响应
快速排查：进到你的 root 目录（如 /var/www/webui），执行 ls -l index.html 确认文件存在且非空；同时检查 nginx.conf 中 index 指令是否与实际文件名完全一致。
