nginx -t 仅检查语法合法性，无法验证 auth_basic_user_file 文件存在性、可读性及格式正确性；403 错误需查 error.log 定位，再核对路径、权限（如640）、属组及哈希格式。
直接用 nginx -t 只能检查配置语法是否合法，**不会验证 auth_basic_user_file 文件是否存在、路径是否可读、内容格式是否正确**。路径写错或权限不对，Nginx 启动时不会报错，但用户访问受保护路径时会返回 403 Forbidden，且错误日志里才有真实线索。
看 Nginx 错误日志定位具体原因
这是最可靠的第一步。403 错误发生后，立刻查错误日志：
- 默认路径：
/var/log/nginx/error.log - 若虚拟主机单独配置了
error_log，优先看那个路径 - 搜索关键词：
auth_basic_user_file、open() "/path/xxx" failed、Permission denied
常见日志提示示例：
-
open() "/etc/nginx/.htpasswd" failed (2: No such file or directory)→ 路径不存在或拼写错误 -
open() "/etc/nginx/.htpasswd" failed (13: Permission denied)→ 权限不足，Nginx worker 进程（如www-data）无法读取 -
auth_basic_user_file: invalid user record in "/etc/nginx/.htpasswd"→ 文件某一行格式不合法（比如缺冒号、hash 前缀不支持）
手动验证文件路径与权限
别只信配置里写的路径，要亲自进系统确认：
- 运行
ls -l /etc/nginx/.htpasswd（把路径替换成你配置中的实际路径） - 检查输出中：文件是否存在、属主和属组是否包含 Nginx 运行用户（如
root:www-data）、权限是否为-rw-r-----（即640） - 如果属组不是 Nginx 用户所在组，或权限大于
640（如644），都可能被拒绝读取 - 必要时修复：
sudo chown root:www-data /etc/nginx/.htpasswd && sudo chmod 640 /etc/nginx/.htpasswd
检查凭据文件内容格式
每行必须严格是 用户名:密码哈希，中间一个英文冒号，无空格：
- 正确示例：
admin:$apr1$abc123$xyz789...（$apr1$表示 MD5，Nginx 原生支持） - 错误示例：
admin : $apr1$...（冒号前后有空格）、admin:$2y$10$...（bcrypt，Nginx 开源版不支持） - 生成推荐用
htpasswd -c /path/to/file username，避免手写错误
排除 SELinux 或 AppArmor 干扰
在 CentOS/RHEL 或 Ubuntu 等启用强制访问控制的系统上，即使文件权限正确，安全模块也可能拦截：
- 临时测试：运行
sudo setenforce 0（SELinux）或sudo aa-disable /usr/sbin/nginx（AppArmor），再试访问 - 若此时 403 消失，说明是策略限制；需添加对应规则，例如用
audit2why分析拒绝日志 - 生产环境不建议长期禁用，应针对性放行
