403 Forbidden表示服务器找到资源但拒绝访问，非“找不到”而是“不让你看”。排查须按错误日志→用户权限→配置逻辑→SELinux/ AppArmor四层顺序验证，首查/var/log/nginx/error.log中(13: Permission denied)等关键报错。
遇到 Nginx 返回 403 Forbidden，核心要明白：服务器找到了你要的资源，但明确拒绝提供——不是“找不到”，而是“不让你看”。排查不能靠猜，得按线索逐层验证。重点看错误日志、用户权限、配置逻辑和系统安全模块这四块。
先查错误日志，定位具体失败动作
这是最高效的第一步。Nginx 错误日志会直接告诉你卡在哪：
- 运行
sudo tail -n 50 /var/log/nginx/error.log（或你站点专属的 error_log 路径） - 重点找含
(13: Permission denied)的行，例如：open() "/data/www/index.html" failed (13: Permission denied) - 这类报错说明 Nginx 进程尝试读取某个文件或目录时被系统拒绝，问题一定出在文件系统权限或 SELinux 上
检查 Nginx 工作用户与目录属主是否匹配
Nginx 不是以 root 身份运行的（默认是 nginx 或 www-data），它只能访问被授权的文件：
- 用
ps aux | grep "nginx: worker process"查看实际工作用户 - 用
ls -ld /your/web/root查看网站根目录的属主和权限 - 常见修复方式（二选一）：
– 把目录属主改成 Nginx 用户：sudo chown -R nginx:nginx /your/web/root
– 或把 Nginx 配置成用你已拥有的目录属主运行（如user www-data;），再重启服务
确认 index 文件存在且路径配置正确
当访问一个目录（如 /）时，Nginx 会按 index 指令顺序查找默认文件：
- 检查配置中是否有类似
index index.html index.php; - 确保这些文件真实存在于
root指定的路径下，比如root /var/www/html;下必须有index.html - 如果只是想列出目录内容（不推荐生产环境），可加
autoindex on;；否则缺失 index 文件就会返回 403
排查 SELinux 或 AppArmor 等强制访问控制模块
尤其在 CentOS/RHEL 系统上，SELinux 默认启用，会拦截 Nginx 对非标准路径的访问：
- 运行
sestatus看状态是否为enforcing - 临时测试：运行
sudo setenforce 0（切换为 permissive 模式），再刷新页面看是否恢复 - 若恢复，说明是 SELinux 导致。长期方案不是关它，而是打标签：
sudo chcon -Rt httpd_sys_content_t /your/web/root
