遇到 WordPress REST API 返回 403 错误，通常是因为服务器权限配置、安全插件拦截或 .htaccess 文件规则导致，建议优先排查文件权限和安全插件设置。
先说结论：403 错误代表服务器拒绝访问，重点检查权限、防火墙和 API 端点配置。
- 先确认错误范围（全站还是仅 API）
- 先处理权限与插件冲突
- 再验证接口访问状态
命令速用版
如果是 Linux 服务器，可通过以下命令快速检查并修复基础权限问题。请注意，执行前需确认网站文件所有者，避免权限归属错误导致网站无法运行。
# 请将 /path/to/wordpress 替换为实际网站根目录路径
find /path/to/wordpress -type d -exec chmod 755 {} \;
find /path/to/wordpress -type f -exec chmod 644 {} \;
# 修正文件所有者（以 www-data 为例，根据实际环境调整）
chown -R www-data:www-data /path/to/wordpress若怀疑 .htaccess 损坏，可将其重命名备份，让 WordPress 重新生成。
为什么会这样
403 Forbidden 状态码表示服务器理解了请求但拒绝执行。在 WordPress 环境中，常见原因包括文件权限设置不当导致服务器无法读取资源，安全插件或防火墙误判 IP 为恶意请求，以及 .htaccess 配置文件规则错误。对于 REST API 特有的 403 错误，还可能涉及权限回调函数（permission_callback）配置错误或 nonce 验证失败。
分步处理
步骤 1：排查安全插件与防火墙
暂时停用所有安全类插件（如 Wordfence、iThemes Security 等）。如果是在云服务器上，检查安全组规则或 WAF 日志，确认是否有 IP 拦截记录。若停用插件后恢复正常，逐个启用以定位冲突源。
步骤 2：检查文件与目录权限
通过 FTP 或 SSH 连接服务器。确保目录权限为 755，文件权限为 644。wp-config.php 建议设置为 600 或 640。切勿将权限设置为 777，这会带来严重安全风险。同时确认文件所有者属于 Web 服务器用户（如 www-data 或 nginx）。
步骤 3：重置 .htaccess 文件
进入网站根目录，找到 .htaccess 文件并下载备份。删除服务器上的该文件，然后登录 WordPress 后台，进入“设置”>“固定链接”，点击保存按钮，系统会自动生成新的标准配置文件。若仍需自定义规则，可添加以下允许 REST API 的规则：
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteRule ^wp-json/.* - [E=REST_API_REQUEST:true]
</IfModule>步骤 4：检查 REST API 代码配置
如果是自定义接口返回 403，检查注册路由时的 permission_callback 参数。确保当前用户有足够权限，或在测试阶段暂时开放权限。若是前端 JS 请求，确认是否正确携带了 X-WP-Nonce 头。以下代码示例展示了如何在测试阶段开放权限：
register_rest_route( 'namespace/v1', '/endpoint', [
'methods' => 'GET',
'callback' => 'my_callback',
'permission_callback' => '__return_true' // 测试用，生产环境请改为具体权限检查
] );怎么验证是否生效
在浏览器地址栏访问 https://your-domain.com/wp-json/（请将 your-domain.com 替换为实际域名）。若正常，应看到 JSON 格式的接口列表。若使用 curl 命令，执行 curl -I https://your-domain.com/wp-json/，观察返回状态码是否为 200。对于自定义接口，使用 Postman 或浏览器控制台 Network 面板查看请求响应状态。
常见坑
修改权限时不要递归设置为 777，这会导致网站被入侵风险激增。修改 .htaccess 前务必备份，否则可能导致全站无法访问。自定义 REST 接口时，若未正确处理 nonce 或用户权限，即使后台正常，前端请求也会报 403。此外，某些主机商的安全模块可能会默认拦截 REST API 请求，需联系主机商确认。执行 chmod 命令后若网站出现空白页，请检查文件所有者是否被错误修改。