遇到 Nginx 403 别急着改权限，先看错误日志定位是配置拒绝还是系统权限不足，大多数情况是目录缺少执行权限或 Nginx 进程用户与文件属主不匹配。

命令速用版

# 查看 Nginx 错误日志最新 50 行
sudo tail -n 50 /var/log/nginx/error.log

# 查看 Nginx 工作进程运行用户
ps -aux | grep nginx | grep -v grep

# 逐级检查路径权限（重点看是否缺少 x 权限）
namei -l /var/www/html/index.html

为什么会这样

HTTP 状态码 403 Forbidden 与 404 Not Found 有本质区别。404 表示资源不存在，而 403 表示服务器已经找到了资源，但因为权限或配置规则拒绝提供访问。Nginx 进程通常以特定用户（如 www-data 或 nginx）身份运行，如果该用户对目标文件没有读取权限，或对父级目录没有执行（x）权限，就无法遍历目录结构读取文件，从而触发系统级拒绝。

此外，安全模块如 SELinux 或 AppArmor 也可能在传统权限正确的情况下拦截访问。配置层面，root 或 alias 指令路径设置错误、缺少 index 文件、或 allow/deny 指令顺序不当也会导致此问题。

分步处理

第一步：查看错误日志
这是最直接的线索来源。使用 tail 命令查看日志，重点关注包含 "403" 或 "Permission denied" 的条目。如果日志显示 "open() failed (13: Permission denied)"，则明确指向文件系统权限问题。

第二步：检查 Nginx 进程用户
确认 Nginx 工作进程的运行用户。使用 ps 命令查看 WORKER 进程的 USER 列。默认情况下，Debian/Ubuntu 通常为 www-data，CentOS/RHEL 通常为 nginx。若网站文件属主是 root 或其他用户，且未开放组/其他用户读取权限，Nginx 将无法打开文件。

第三步：修正文件与目录权限
确保 Nginx 用户对文件有读权限，对目录有执行权限。安全做法是将文件属组设为 Nginx 用户所在组，并赋予组读/执行权限。目录权限建议设置为 755，文件设置为 644。避免使用 chmod 777，这会带来严重安全风险。

第四步：检查 index 文件与配置
确认配置文件中 index 指令指定的文件（如 index.html）确实存在于根目录下。若使用 alias 指令，注意路径替换逻辑，建议 location 和 alias 路径都以 / 结尾以避免错误。重点检查 location 块中的 allow/deny 指令顺序，Nginx 按顺序匹配，一旦匹配成功即停止。

# 错误示例：deny 在 allow 之前，导致所有 IP 都被拒绝
location /admin {
    deny all;
    allow 192.168.1.100;
}

# 正确示例：allow 在 deny 之前，遵循自上而下匹配
location /admin {
    allow 192.168.1.100;
    deny all;
}

第五步：排查安全模块
在 CentOS/RHEL 上检查 SELinux 状态，若为 Enforcing 模式，可能拦截 Nginx 访问。可尝试临时设置为 Permissive 模式测试，但生产环境测试后务必恢复，或通过策略永久修复。

# 查看 SELinux 状态
getenforce

# 临时设置为 Permissive 模式（重启失效，生产环境慎用）
sudo setenforce 0

# 修复文件上下文（推荐方式）
sudo chcon -R -t httpd_sys_content_t /var/www/html

# 测试完成后恢复 SELinux 强制模式
sudo setenforce 1

Ubuntu 系统需检查 AppArmor 策略，通常查看 /var/log/syslog 中是否有 apparmor="DENIED" 记录。

怎么验证是否生效

使用 curl 命令发起请求，检查 HTTP 状态码是否变为 200。同时再次查看错误日志，确认没有新的 Permission denied 记录。对于 Docker 环境，需确保容器内 Nginx 用户 UID 与宿主机文件所有者 UID 一致，可通过挂载卷测试读取。

curl -I http://your_domain.com/index.html

常见坑

1. 目录缺少 x 权限：Linux 中进入目录需要 x 权限，即使文件本身可读，若父目录缺少 x，Nginx 也会返回 403。
2. chmod 777 滥用：虽然能解决权限问题，但会将服务器置于高风险状态，应遵循最小权限原则。
3. Docker 用户隔离：宿主机文件归属当前用户，容器内 Nginx 使用不同 UID，导致视为他人文件拒绝访问。
4. alias 路径斜杠：alias 指令配置时，路径结尾斜杠处理不当可能导致物理路径拼接错误。
5. 静态文件放置位置：避免将静态文件放在 /root 等受限目录下，Nginx 通常无权访问。
6. SELinux 策略未恢复：临时关闭 SELinux 后忘记重新开启，导致服务器长期处于低安全状态。

参考来源

• Nginx Official Docs: ngx_http_access_module
• Nginx Official Docs: alias directive
• Red Hat Documentation: SELinux
• Debian Wiki: SELinux