根本原因是Nginx worker进程（如www-data或nginx用户）无权限遍历root目录路径或读取文件，即使master以root启动；需确认真实worker用户、逐级检查目录x权限、按最小权限原则调整属组与权限。

根本原因不是 root 指令写错了，而是 Nginx worker 进程用户（比如 www-data 或 nginx）没有权限进入你配置的 root 目录，或读取其中的文件。即使你用 root 启动 Nginx，真正处理请求的是非 root 的 worker 进程，它受限于 Linux 文件系统权限。

确认 Nginx 实际运行用户

别只看 nginx.conf 里有没有 user 行——它可能被注释、被 include 覆盖，或根本没生效：

• 查真实 worker 用户：ps -eo pid,user,comm,args | grep 'nginx: worker' | grep -v grep
• 查配置中定义：grep "user" /etc/nginx/nginx.conf（注意检查所有被 include 的 conf 文件）
• 常见默认值：Ubuntu/Debian 是 www-data，CentOS/RHEL 是 nginx，未配置时可能是 nobody

逐层检查目录路径权限

Linux 要访问一个文件，必须对“从根目录到该文件的每一级父目录”都有 x（执行）权限，否则进不去。例如 root /data/app/html;，就要检查：

linux-sysadmin

Linux系统管理专家，覆盖12大模块：用户权限、SSH、存储、网络、systemd、防火墙、日志监控、备份恢复、TLS证书、Ansible、容器、IaC。提供配置、验证、加固、监控、备份、自动化、故障排查、回滚闭环。关键词：useradd、sudo、sshd_config、chmod、SEL...

下载

• ls -ld /data → 需有 x 权限（如 drwxr-xr-x）
• ls -ld /data/app → 同样需要 x
• ls -ld /data/app/html → 目录需 r+x，文件需 r
• 如果某一级是 drwx------（仅 root 可进），worker 就卡在那儿，直接 403

修复权限的三种可靠方式

优先选最小权限原则，不推荐直接 chmod 777 或 user root：

• 改属组 + 开放组权限（推荐）：
  sudo chown -R root:www-data /data/app/html
  sudo chmod -R 755 /data/app/html（目录）
  sudo find /data/app/html -type f -exec chmod 644 {} \;
• 统一属主为 Nginx 用户：
  sudo chown -R www-data:www-data /data/app/html
  再设对应权限（同上）
• 验证是否真能读：
  sudo -u www-data cat /data/app/html/index.html（模拟 worker 读取）

特别注意 root 目录不能放在 /root 下

/root 默认仅 root 可访问，普通用户（包括 www-data）连 /root 目录都进不去，必然 403。这不是配置问题，是系统安全设计：

• 务必把网站文件移到 /var/www/、/data/ 或 /srv/ 等标准位置
• 若临时调试必须用家目录，可改属组+权限，但生产环境严禁
• SELinux 启用时（如 CentOS），还需补充上下文：sudo chcon -t httpd_sys_content_t /data/app/html