403 forbidden 本质是操作系统拒绝 nginx 工作进程访问文件或目录，需从进程视角逐层验证“能否进目录、读文件、被安全策略放行”，重点排查用户匹配、父目录执行权限（x）、selinux/apparmor 干预及 root/alias 路径解析偏差。

403 Forbidden 本质是操作系统拒绝了 Nginx 工作进程对文件或目录的访问，不是配置写错了，而是权限、路径或安全策略拦住了它。排查要从 Nginx 进程视角出发，逐层验证是否“能进目录、能读文件、能被放行”。

确认 Nginx 工作进程的实际运行用户

Nginx 主进程常以 root 启动，但真正处理请求的是 worker 进程，它的用户才决定文件访问权限。

• 运行 ps -aux | grep nginx | grep -v grep，看 WORKER 行的 USER 列（常见为 www-data、nginx 或 nobody）
• 检查 nginx.conf 开头的 user 指令，确保与 worker 进程一致
• 若网站文件属主是 root 或普通用户（如 deploy），而 Nginx 用户不在其属组，且其他用户无读权限，就会触发 403

检查目标路径每级目录的执行（x）权限

Linux 要进入目录必须有 x 权限——这是最常被忽略的关键点。缺任意一级的 x，Nginx 就卡在门外，哪怕文件本身可读。

linux-sysadmin

Linux系统管理专家，覆盖12大模块：用户权限、SSH、存储、网络、systemd、防火墙、日志监控、备份恢复、TLS证书、Ansible、容器、IaC。提供配置、验证、加固、监控、备份、自动化、故障排查、回滚闭环。关键词：useradd、sudo、sshd_config、chmod、SEL...

下载

• 用 namei -l /var/www/html/index.html 查整条路径：它会列出 /、/var、/var/www、/var/www/html、文件本身的权限和属主
• 重点看每级目录的第三位（others）或第二位（group）是否有 x；例如 drwxr-x--- 表示 others 无 x，若 Nginx 用户不属于该目录属组，就无法进入
• 修复命令示例：chmod 755 /var /var/www /var/www/html（确保所有父目录对 group/other 有 r-x）

验证 Nginx 用户能否真实访问目标文件

别只看 ls -l，要用 Nginx 用户身份实测，模拟真实行为。

• 运行 sudo -u www-data ls -l /your/configured/root/path/index.html（把 www-data 替换成你查到的 Nginx 用户）
• 如果报 Permission denied，说明权限链某处断了；如果提示 No such file or directory，可能是 root 路径拼写错误、末尾多斜杠，或 alias/root 混用导致路径解析偏差
• 注意区分 root（拼接路径）和 alias（完全替换），配置错会导致实际查找路径与预期不符

排查 SELinux 或 AppArmor 干预（仅限启用环境）

即使传统权限全开，强制访问控制模块仍可能拦截。CentOS/RHEL 默认启 SELinux，Ubuntu 可能启 AppArmor。

• SELinux：运行 sestatus 确认状态；若为 enforcing，查拦截日志：ausearch -m avc -ts recent | grep nginx；临时放行可试 setsebool -P httpd_read_user_content 1 或重标上下文 chcon -R -t httpd_sys_content_t /var/www/html
• AppArmor：运行 aa-status | grep nginx；日志通常在 /var/log/syslog 或 /var/log/audit/audit.log 中搜索 nginx 相关拒绝记录