403 forbidden表示nginx找到资源但拒绝访问，核心原因是worker进程用户无权限：先查error.log中“(13: permission denied)”报错；再确认worker用户（如nginx）对路径各级目录有x权限、文件有r权限；检查index文件存在且配置匹配；最后排查selinux/apparmor拦截。
403 Forbidden 表示 Nginx 找到了请求的资源路径，但明确拒绝提供服务。它不是“找不到”，而是“不让你读”。真正原因几乎都和权限控制有关，核心在于：Nginx 的 worker 进程用户，对目标文件或目录没有足够权限。
看错误日志定位具体失败点
这是最直接有效的第一步。Nginx 会在 error.log 中记录系统级拒绝动作：
- 运行 sudo tail -n 50 /var/log/nginx/error.log（或你配置中 error_log 指向的路径）
- 重点找含 (13: Permission denied) 的行，例如：
open() "/data/www/index.html" failed (13: Permission denied) - 这条信息说明 worker 进程在尝试打开该路径时被操作系统拦截，问题一定出在文件系统权限、SELinux 或路径本身不可达
检查 Nginx worker 用户与目录权限是否匹配
Nginx master 进程常以 root 启动，但真正干活的是 worker 进程——它的身份由 nginx.conf 中的 user 指令决定，默认可能是 nginx（CentOS）或 www-data（Ubuntu）。
- 查当前 worker 用户：ps aux | grep "nginx: worker process"
- 查网站根目录权限：ls -ld /your/web/root
- 关键要求：整个路径链上每个目录（如 /var、/var/www、/var/www/html）都必须对 worker 用户有 x（执行）权限；目标文件（如 index.html）要有 r（读）权限
- 推荐修复方式：
– 改目录属主：sudo chown -R nginx:nginx /your/web/root
– 或改权限：sudo chmod 755 /your/web/root（目录），sudo chmod 644 /your/web/root/index.html（文件）
确认 index 文件存在且配置正确
当访问 / 这类目录路径时，Nginx 会按 index 指令顺序查找默认文件。
- 检查配置中是否有类似：index index.html index.php;
- 确保这些文件真实存在于 root 指定的路径下，比如 root /var/www/html; 下必须有 index.html
- 若只是想临时查看目录结构（不建议生产环境），可加：autoindex on;，否则缺失 index 文件也会返回 403
排查 SELinux 或 AppArmor 等安全模块干扰
尤其在 CentOS/RHEL 系统上，SELinux 默认启用，会对非标准路径（如 /data/www）施加额外限制。
- 查状态：sestatus —— 若显示 enforcing，就可能介入
- 临时验证：sudo setenforce 0，再刷新页面；若 403 消失，基本确定是 SELinux 导致
- 长期方案不是关闭它，而是打标签：
sudo semanage fcontext -a -t httpd_sys_content_t "/data/www(/.*)?"
sudo restorecon -Rv /data/www
