服务器403禁止访问原因

# 直接看源站真实状态码（跳过 CDN：用 -H Host 指定，或直连源站 IP）
curl -I http://127.0.0.1/some/path
curl -I -H "Host: www.example.com" http://源站IP/some/path

# 只看状态码，便于脚本批量验证
curl -s -o /dev/null -w "%{http_code}\n" http://127.0.0.1/

# 带 Referer 验证是不是防盗链拦的
curl -I -H "Referer: https://other-site.com/" http://127.0.0.1/img/a.jpg

# 实时跟踪 Nginx 错误日志，同时访问页面观察
sudo tail -f /var/log/nginx/error.log

# 检索最近的权限类报错
sudo grep -i "permission denied" /var/log/nginx/error.log | tail -20

# 检索规则类报错（deny 规则、目录索引禁用）
sudo grep -iE "forbidden|access denied|directory index" /var/log/nginx/error.log | tail -20

# 访问日志确认到底请求了哪个 URI、返回码是多少
sudo tail -5 /var/log/nginx/access.log

# 方法一：看进程实际运行用户
ps -o user,pid,cmd -C nginx

# 方法二：看配置里的 user 指令
grep -E "^\s*user" /etc/nginx/nginx.conf

# 用 Web 用户身份实测能否读取目标文件（最可靠的验证）
sudo -u www-data test -r /var/www/html/index.html && echo "可读" || echo "不可读"
sudo -u www-data test -x /var/www/html && echo "可进入目录" || echo "无法进入目录"

namei -l /var/www/html/index.html
# 期望看到：目录 drwxr-xr-x（755），文件 -rw-r--r--（644）

# 批量修复：只改目录为 755，只改文件为 644，不要一股脑 chmod -R 777
find /var/www/html -type d -exec chmod 755 {} \;
find /var/www/html -type f -exec chmod 644 {} \;

# 修正属主（按你的实际 Web 用户替换 www:www）
sudo chown -R www:www /var/www/html

# 上传目录、缓存目录可能需要写权限，单独放宽
chmod 775 /var/www/html/uploads

# 用 ACL 单独给 Web 用户开写权限，不影响其他用户
sudo setfacl -R -m u:www-data:rwX /var/www/html/uploads
sudo setfacl -R -d -m u:www-data:rwX /var/www/html/uploads   # 默认继承，新建文件也生效
getfacl /var/www/html/uploads

server {
    listen 80;
    server_name www.example.com;
    root /var/www/html;

    # 首页文件按顺序查找，一个都找不到且 autoindex 关闭时就返回 403
    index index.php index.html index.htm;

    location / {
        try_files $uri $uri/ =404;
    }

    # 需要列目录时显式打开（如软件下载站），否则不要开
    location /download/ {
        autoindex on;
        autoindex_exact_size off;
        autoindex_localtime on;
    }

    # 后台目录只放行内网：注意 allow 必须写在 deny 前面
    location /admin/ {
        allow 192.168.1.0/24;
        allow 10.0.0.7;
        deny all;
    }
}

sudo nginx -t                 # 语法检查，输出 syntax is ok 再下一步
sudo nginx -T | grep -nE "deny|allow|autoindex|root|alias"   # 导出全部生效配置，找"幽灵规则"
sudo systemctl reload nginx   # 平滑重载，不断连接

# 查看 SELinux 当前模式
getenforce        # Enforcing / Permissive / Disabled

# 查看文件上下文是否正确
ls -Z /var/www/html/
# 正确的 Web 内容上下文应为 httpd_sys_content_t（或 system_u:object_r:httpd_sys_content_t:s0）

# 临时切到 Permissive 验证是否为 SELinux 所致（验证后务必改回）
sudo setenforce 0
curl -s -o /dev/null -w "%{http_code}\n" http://127.0.0.1/
sudo setenforce 1

# 方式一：按系统默认策略恢复上下文（推荐，永久生效）
sudo restorecon -Rv /var/www/html

# 方式二：手工指定上下文
sudo chcon -R -t httpd_sys_content_t /var/www/html
# 需要写入的目录用可写类型
sudo chcon -R -t httpd_sys_rw_content_t /var/www/html/uploads

# 查看被拒绝的具体原因并给出建议
sudo ausearch -m AVC -ts recent | audit2why

sudo setsebool -P httpd_can_network_connect 1      # 允许 httpd 发起网络连接
sudo setsebool -P httpd_can_network_connect_db 1   # 允许连接数据库端口
getsebool -a | grep httpd

# 绕过 CDN 直连源站
curl -I -H "Host: www.example.com" http://源站IP/path

# 对比响应头判断是谁返回的 403
curl -I https://www.example.com/path
# 看到 server: 字段为 CDN 厂商名、或出现 X-Cache / CF-RAY / X-WAF 等头，即为中间层拦截

# 带正常 UA 与 Referer 复测，排除 UA/Referer 拦截
curl -I -A "Mozilla/5.0 (Windows NT 10.0; Win64; x64)" \
     -H "Referer: https://www.example.com/" https://www.example.com/path