HTTPS开启后出现403 Forbidden，通常因Nginx 443 server块中root路径未配置或错误、location规则误拦截、反向代理缺失X-Forwarded-Proto等关键头、或证书文件权限不足导致Nginx无法正常访问资源。
HTTPS 开启后出现 403 Forbidden，通常不是证书本身“校验失败”（那是 TLS 握手阶段的 400/500 类错误），而是 HTTPS 配置引发的访问控制变化，导致 Nginx 无法读取文件或被后端拒绝。核心问题往往藏在路径、权限、代理头或后端策略里。
检查 root 路径与证书配置是否冲突
启用 HTTPS 后，很多人会新建一个 server 块监听 443 端口，但容易忽略：这个新块里的 root 路径可能没写，或写错了。Nginx 不会自动继承 HTTP 块的 root 设置。
- 打开 nginx.conf 或站点配置文件，找到
server { listen 443 ssl; ... }块 - 确认里面明确写了
root /var/www/html;（路径需与实际一致） - 如果用了
include引入其他配置，检查被包含文件是否覆盖或清空了 root
验证 SSL 配置是否意外触发了 location 限制
有些配置会为 HTTPS 单独加一层安全规则，比如强制跳转、限制 IP 或禁用目录浏览，稍不注意就变成全局拦截。
- 查找类似
location / { deny all; }或allow 127.0.0.1; deny all;的语句，确认是否只出现在 443 server 块内 - 检查是否有
auth_basic相关指令被误加在 HTTPS 块中，导致未认证即拒访 - 临时注释掉所有非必需的
location块，只留最简结构测试是否恢复
排查反向代理场景下的 Host 与头信息丢失
如果你用 Nginx 做 HTTPS 终结 + 反向代理（例如把 HTTPS 请求转给本地 HTTP 的后端），后端服务常依赖 Host 或 X-Forwarded-Proto 判断协议类型和来源。缺这些头，后端可能直接返回 403。
- 确保 proxy_pass 块中包含以下关键头：
proxy_set_header Host $host;proxy_set_header X-Real-IP $remote_addr;proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;proxy_set_header X-Forwarded-Proto $scheme;- 用 curl 模拟请求验证：
curl -k https://your-domain.com，再对比curl http://localhost:8080，看后端响应是否一致
确认证书文件权限未影响 Nginx 读取
虽然证书读取失败一般报 “SSL_CTX_use_certificate_chain_file() failed”，但在某些 SELinux 或严格权限环境下，Nginx 主进程若无法读取 .pem 文件，也可能降级为 403（尤其配合 autoindex 或 fallback 逻辑时）。
- 运行
ls -l /path/to/your/cert.pem /path/to/your/key.pem - 确保证书和私钥对 Nginx 运行用户（如 www-data 或 nginx）可读：
chmod 644 cert.pem; chmod 600 key.pem - 如果是 CentOS/RHEL，检查 SELinux 上下文：
ls -Z cert.pem，应为httpd_cert_t；如果不是，执行chcon -t httpd_cert_t cert.pem key.pem
