Django 部署后媒体文件访问返回 403 Forbidden，通常是因为 Web 服务器（Nginx 或 Apache）没有权限读取 MEDIA_ROOT 目录，或者配置文件中的访问控制规则拒绝了请求，而非 Django 代码逻辑错误。

命令速用版

若使用 Nginx 部署，可通过以下命令快速修复常见的权限问题，假设 Nginx 运行用户为 www-data，媒体目录为 /var/www/media/。

# 修改目录所有者为 Nginx 用户
sudo chown -R www-data:www-data /var/www/media/

# 赋予目录读取和执行权限
sudo chmod -R 755 /var/www/media/

# 检查 Nginx 配置语法
sudo nginx -t

# 重载 Nginx 配置
sudo systemctl reload nginx

为什么会这样

Django 在 DEBUG=False 的生产环境中明确停止提供媒体文件服务，请求直接由 Web 服务器处理，403 错误表示服务器理解请求但拒绝执行。

本地开发时 Django 内置服务器自动处理 media 请求，但部署后 Nginx 或 Apache 接管静态资源托管。若 MEDIA_ROOT 目录的操作系统权限禁止 Web 服务器用户（如 www-data、nginx）读取，或 Web 服务器配置中缺少 Require all granted 等放行指令，服务器会直接返回 403 Forbidden。这与 Django 的 CSRF 保护或 ALLOWED_HOSTS 设置无关，后者通常导致 403 错误发生在表单提交或 API 请求阶段，而非静态资源加载阶段。

分步处理

按照文件系统权限、Web 服务器配置、安全模块限制的顺序排查，每步操作后需验证是否解决问题。

第一步：检查文件系统权限

确保 Web 服务器进程用户拥有媒体目录的读取和执行权限。

操作动作：使用 ls -l 查看目录权限，确认所有者是否为 Nginx/Apache 用户。

ls -ld /path/to/media/
# 输出示例：drwxr-xr-x 2 www-data www-data 4096 Jan 1 12:00 media

若所有者为 root 或其他用户，执行 chown 命令修改所有权，并确保目录权限至少为 755。

第二步：检查 Web 服务器配置

确认 Nginx 或 Apache 配置中针对 media 路径的 location 块允许公开访问。

操作动作：检查 Nginx 站点配置文件中 location /media/ 块是否使用了正确的 alias 或 root 指令，且路径末尾斜杠一致。

# Nginx 正确配置示例
location /media/ {
    alias /path/to/your/project/media/;
    autoindex off;
}

# Apache 2.4 正确配置示例
<Directory "/path/to/your/project/media">
    Require all granted
    Options FollowSymLinks
</Directory>

风险边界：Apache 2.4 版本后访问控制语法变更为 Require all granted，旧版 Order allow,deny 配置会导致 403 错误。

第三步：检查 SELinux 或 AppArmor

在 CentOS、RHEL 或启用安全模块的 Ubuntu 系统上，安全策略可能阻止 Web 服务器访问非标准目录。

操作动作：查看 SELinux 状态，若为 Enforcing 模式，需设置正确的上下文或临时关闭测试。

# 查看 SELinux 状态
getenforce

# 临时设置为 Permissive 模式测试
sudo setenforce 0
若关闭 SELinux 后访问正常，需使用 chcon 或 semanage 命令永久放行 httpd 或 nginx 对媒体目录的读取权限。
怎么验证是否生效
通过命令行工具或浏览器网络面板确认 HTTP 状态码已从 403 变为 200。
检查命令：使用 curl -I 请求媒体文件 URL，观察响应头状态码。

curl -I https://your-domain.com/media/example.jpg
# 期望输出：HTTP/1.1 200 OK
日志位置：若仍报错，查看 Web 服务器错误日志（如 /var/log/nginx/error.log 或 /var/log/apache2/error.log），搜索 permission denied 或 client denied 关键词。
常见坑
避免混淆静态文件与媒体文件配置，且不要为了调试在生产环境开启 DEBUG 模式。
alias 路径斜杠：Nginx 配置中 alias 路径末尾必须加斜杠，否则可能导致路径拼接错误引发 403 或 404。
DEBUG 设置风险：不要通过在 settings.py 中设置 DEBUG=True 来解决媒体访问问题，这会暴露敏感信息并带来安全隐患。
静态与媒体混淆：STATIC_ROOT 用于存放 collectstatic 收集的 CSS/JS，MEDIA_ROOT 用于存放用户上传文件，两者需分别配置 Web 服务器路由。
用户权限不一致：若使用 uWSGI 或 Gunicorn，确保其运行用户与 Nginx 读取文件的用户权限兼容。
常见问题
媒体文件 403 和 404 有什么区别？
404 表示文件不存在或路由未配置，403 表示文件存在但服务器拒绝访问。
修改 CSRF 配置能解决媒体文件 403 吗？
不能，CSRF 配置仅影响表单提交和 POST 请求，不影响静态资源 GET 请求。
生产环境可以直接让 Django 提供媒体服务吗？
不建议，Django 官方明确说明生产环境应由 Web 服务器托管媒体文件，性能且安全。
参考来源
Django 使用 Nginx 和 uWSGI 访问静态文件出现 403 Forbidden 错误的原因
Django 项目部署 Nginx 后静态文件报 403 Forbidden 状态码
Apache2.4 部署 django 出现 403 Forbidden 错误解决办法 - CQ_LQJ - 博客园
Django 生产环境 Media 文件 404 错误的根源与正确解决方案