error_log 中“(13: permission denied)”明确指向系统权限问题，需逐级检查路径各目录的x权限、nginx worker用户实际身份及selinux上下文。
遇到 Nginx 返回 403 Forbidden，且错误日志里明确写着 (13: Permission denied)，基本可以锁定是目录权限链断裂——不是配置写错了，而是 Nginx 的 worker 进程被系统拦在了文件门外。
看错误日志，定位具体失败路径
这是不可跳过的起点。直接查：
sudo tail -n 20 /var/log/nginx/error.log
重点找类似这样的行：
open() "/var/www/html/index.html" failed (13: Permission denied)
这行里的路径就是你要逐级检查的“权限链终点”。别猜、别跳步，就从它开始。
逐级验证路径上每一层的执行权限（x）
Nginx 要读一个文件，必须能“走进去”——对从根目录到该文件的每一级父目录都拥有 x 权限。比如路径是 /var/www/html/index.html，需确认：
-
ls -ld /→ 根目录通常没问题 -
ls -ld /var→ 必须含 x（如 drwxr-xr-x） -
ls -ld /var/www→ 必须含 x -
ls -ld /var/www/html→ 必须含 x -
ls -l /var/www/html/index.html→ 文件本身必须含 r
一个常用技巧是用 namei -om /var/www/html/index.html，它会一次性列出整条路径的属主、属组和权限位，一眼看清哪一级卡住了。
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
确认 Nginx worker 真正以谁的身份运行
别只信配置文件里的 user 指令。实际运行身份可能已被覆盖或未生效：
- 查配置：grep "^user" /etc/nginx/nginx.conf（常见值：nginx、www-data）
- 查进程：ps aux | grep "nginx: worker process"，看 USER 列是谁
- 手动模拟：sudo -u nginx cat /var/www/html/index.html，如果报错，说明权限还没通
注意：master 进程是 root，但真正干活的是 worker 进程。权限判断永远以 worker 用户为准。
检查 SELinux 是否在背后拦截（RHEL/CentOS 环境必查）
即使所有文件权限、属主都正确，SELinux 仍可能阻止访问。先看状态：
sestatus → 若显示 enforcing，就要排查
临时验证是否是它作祟：
sudo setenforce 0，然后刷新页面。如果 403 消失，问题就出在这里。
不建议永久关闭 SELinux。更稳妥的做法是给网站目录打上正确的上下文标签：
sudo semanage fcontext -a -t httpd_sys_content_t "/var/www/html(/.*)?"
sudo restorecon -Rv /var/www/html
