Nginx 如何排查使用 Root 指令时由于 Linux 目录权限不足引发的 403 错误

403 错误源于操作系统权限限制而非Nginx配置错误，核心是Nginx worker进程用户对root路径及其各级父目录缺乏执行（x）权限或属主/属组不匹配，需逐级验证权限、检查SELinux/AppArmor拦截，并确认路径拼写与索引文件存在。

403 错误不是 Nginx 配置写错了，而是它在操作系统层面被拦住了——文件或目录对 Nginx 工作进程不可读、不可进入。用 root 指令时，问题往往藏在路径的每一级权限里，尤其容易卡在父目录缺少执行（x）权限，或属主/属组不匹配。

确认 Nginx 工作进程的实际用户

Nginx 主进程常以 root 启动，但真正处理请求的是 worker 进程，它们按配置中的 user 指令运行（如 www-data、nginx 或 nobody）。这个用户必须能“走进去”并“读到”你配置的 root 路径下的文件。

1. 查 worker 用户：ps aux | grep "nginx: worker process" | head -1 | awk '{print $1}'
2. 查配置中设定的用户：打开 nginx.conf，看开头的 user 行（例如 user nginx;）
3. 别只看 root 目录本身，/var/www/html 的上级目录（如 /var、/var/www）也得让该用户有 x 权限才能逐级进入

验证整条路径的可访问性

不能只检查最终目录，要模拟 Nginx 用户视角，从根开始逐级判断是否可进入、可读。

1. 用 namei -l /your/root/path/index.html 查每级目录的权限、属主、属组；只要任意一级缺 x 权限（比如 drw-r--r--），就会 403
2. 手动切换身份测试：sudo -u www-data ls -l /your/root/path/index.html —— 如果报 Permission denied，说明权限链断了
3. 常见高危路径：/root（nobody/www-data 默认无权访问）、/home/xxx（普通用户家目录默认禁止其他用户进入）

检查 SELinux 或 AppArmor 是否拦截

即使传统权限全开，在 CentOS/RHEL（SELinux）或 Ubuntu（AppArmor）上仍可能被安全模块阻止。

1. SELinux：运行 sestatus 看是否启用；若启用，查拦截日志：ausearch -m avc -ts recent | grep nginx
2. 临时放行测试：setsebool -P httpd_read_user_content 1 或 chcon -R -t httpd_sys_content_t /your/root/path
3. AppArmor：运行 aa-status | grep nginx；日志通常在 /var/log/audit/audit.log 或 /var/log/syslog

核对 root 路径拼写与索引文件存在性

看似是权限问题，有时只是路径写错或少了个文件。

1. 确认配置中 root 值是绝对路径，且真实存在：ls -ld /your/configured/root
2. 检查该目录下是否有 index 指令指定的文件（默认 index.html、index.htm）：ls -l /your/root/index.html
3. 注意末尾斜杠：root /data/web/; 和 root /data/web; 在某些场景下行为不同，建议统一不加末尾斜杠