当URL中包含空格加斜杠（如 / / 或 /%20/）时，Apache会直接返回默认403响应，绕过.htaccess中定义的ErrorDocument 403，导致自定义403.php无法加载。根本原因在于该异常请求在到达.htaccess之前已被服务器级模块（如mod_security）拦截。

当url中包含空格加斜杠（如 `/ /` 或 `/%20/`）时，apache会直接返回默认403响应，绕过`.htaccess`中定义的`errordocument 403`，导致自定义403.php无法加载。根本原因在于该异常请求在到达`.htaccess`之前已被服务器级模块（如mod_security）拦截。

这类问题看似边缘，实则暴露了Apache请求处理生命周期的关键细节：ErrorDocument指令的生效时机取决于其定义位置。在.htaccess中设置的ErrorDocument 403仅对“已进入URL重写流程且被Apache核心判定为403”的请求生效；而形如 / / 的路径因违反URI语法规范，会在更早阶段（如协议解析或安全模块预检）被拒绝——此时请求甚至未抵达.htaccess作用域，因此自定义错误页完全不会触发。

你当前的配置：

ErrorDocument 403 https://www.example.com/403.php

存在两个关键缺陷：

1. 使用绝对URL重定向：https://... 会强制302跳转，不仅暴露真实路径，还可能被客户端缓存或安全策略拦截；
2. 作用域层级过低：.htaccess属于目录级配置，无法覆盖服务器级（httpd.conf或虚拟主机块）的早期拦截规则。

✅ 正确做法是：

• 将 ErrorDocument 移至服务器或虚拟主机配置中（需主机权限），例如：

  <virtualhost>
      ServerName example.com
      DocumentRoot "/var/www/html"
      ErrorDocument 403 /403.php  # 使用相对路径，确保内部处理
      # 其他配置...
  </virtualhost>

• 若使用共享主机无法修改主配置，则必须联系服务商确认是否启用了mod_security、mod_evasive等模块，并要求其：
  • 在规则中排除合法空格编码（如%20）的误报；
  • 或允许自定义错误页在早期阶段介入。

⚠️ 补充建议：

• 在.htaccess中主动过滤危险路径，避免触发底层拦截：

  # 拦截含 "/%20/" 或 "/ /" 的请求，统一重写为404（更可控）
  RewriteCond %{THE_REQUEST} \s/+[^?]*\s+/+\s+ [NC]
  RewriteRule ^ - [R=404,L]

• 在index.php中增强输入校验，防止空格路径穿透：

  $rawPath = $_SERVER['REQUEST_URI'] ?? '';
  if (preg_match('/\/\s*\//', $rawPath) || preg_match('/\/%20\//i', $rawPath)) {
      http_response_code(404);
      require_once('404.php');
      exit;
  }

总结：自定义错误页失效的本质是请求拦截时机早于.htaccess生效时机。解决方案分两级——首选服务器配置层修复，次选应用层兜底防御。切勿依赖客户端跳转式ErrorDocument，始终使用本地路径（如/403.php）确保内部响应。