Apache虚拟主机403错误主因是Directory配置未打通访问链路：路径须严格一致（大小写、斜杠、符号链接均敏感），必须显式配置Require all granted，且需满足系统级r-x权限及SELinux上下文正确。
apache 的 directory 配置不是“写完就跑”，而是访问链路中承上启下的关键一环。路径对了、语法通了，仍报 403，大概率卡在 directory 块的权限逻辑里——它既要匹配真实路径，又要绕过全局限制，还得满足 apache 用户的系统级访问能力。
路径必须严格一致，大小写、斜杠、符号链接都不能错
DocumentRoot 和
-
DocumentRoot "/var/www/myapp"对应<directory></directory>—— 末尾不能加/，加了就是另一个路径 - Linux 区分大小写：
/Var/WWW≠/var/www，拼错一个字母就匹配失败 - 若用符号链接（如
/var/www/myapp → /opt/app/current），需在<directory></directory>中启用Options FollowSymLinks，且目标目录（/opt/app/current）本身要有+x权限（允许进入）
Require all granted 是硬性要求，不是可选项
Apache 2.4+ 彻底废弃了 Allow from all，只认 Require 指令：
- 每个
<directory></directory>块内，必须显式写Require all granted - 如果主配置中有
<directory></directory> Require all denied，你的站点<directory></directory>必须写在它之后，且路径更具体，Apache 才会按顺序应用更精细的规则 - 不要混用新旧语法：
Order allow,deny+Allow from all在 2.4+ 中完全无效，还会导致配置测试失败
系统级权限和 SELinux 是隐形拦路虎
Apache 进程以特定用户运行（如 www-data 或 apache），它得能“走到目录里”、“看到文件”、“读取内容”：
- 目录需有
r-x（至少 755），Apache 用户要能进入（x）、列出（r）；文件需有r--（至少 644）才能被读取 - RHEL/CentOS 系统默认开启 SELinux，即使文件权限全开，也可能因上下文类型不对被拦截。临时验证：运行
sudo setenforce 0，若 403 消失，说明是 SELinux 问题，再用sudo semanage fcontext -a -t httpd_sys_content_t "/var/www/myapp(/.*)?"和sudo restorecon -Rv /var/www/myapp修复 - 检查 Apache 实际运行用户：
ps aux | grep httpd或ps aux | grep apache2，确认你给权限的对象是否正确
别让 .htaccess 成为性能与安全双坑
AllowOverride 控制是否允许目录下 .htaccess 文件生效，但它不是万能开关：
-
AllowOverride None是安全默认值，生产环境推荐保持，避免每次请求都扫描磁盘找.htaccess - 只在真正需要覆盖规则的子目录下设为
All或更细粒度（如FileInfo、AuthConfig） - 即使开了
AllowOverride All，.htaccess里的RewriteEngine On也无效——该指令只在主配置或<directory></directory>中有效；RewriteRule和RewriteCond才能在.htaccess里用
