403 是什么
403 Forbidden 表示服务器理解了请求但拒绝执行：身份可能已经确认，只是没有访问该资源的权限；也可能是来源限制、地理或网段策略、防盗链规则、安全设备拦截。RFC 9110 §15.5.4 特意指出，403 与「凭据不足」不同，客户端重复提交相同凭证通常不会改变结果。因此排障的第一步是分清楚这属于应用权限判定，还是安全策略拦截，这两类问题的修复路径完全不同。
基本信息
| 名称 | 403 Forbidden（RFC 9110 §15.5.4） |
|---|---|
| 作用 | 请求被理解但拒绝执行 |
| 与 401 区别 | 403 通常不再要求重新认证，重复认证无效 |
| 常见来源 | 应用权限判定、来源限制、安全设备、文件系统权限 |
| 是否可重试 | 通常不可，需先修权限或策略 |
典型使用场景
- 权限分级：普通用户访问管理接口被拒绝
- 来源限制：只允许特定网段访问后台，其余来源一律拒绝
- 防盗链：资源只允许指定站点引用，其他来源直接拒绝
- 目录保护：阻止用户直接浏览站点目录列表
- 安全设备拦截：命中了规则库中被判定为恶意的请求特征
Web 服务器层面的来源限制
Web 服务器层面的来源限制
location /admin/ {
allow 10.0.0.0/8; # 只放通内部网段
deny all; # 其他来源一律拒绝
}
location ~ /\.(?!well-known) { deny all; } # 禁止访问隐藏文件，但放通证书校验目录被拒绝的来源怎么分类
| 来源 | 典型特征 | 排查入口 |
|---|---|---|
| 应用权限判定 | 响应体带业务错误码与请求编号 | 角色与权限配置、用户所属组织 |
| 来源网段限制 | 配置里能搜到放通与拒绝规则 | 服务端访问控制配置 |
| 防盗链策略 | 图片或静态资源在被引用时失败 | 引用来源白名单配置 |
| 安全设备拦截 | 响应页带有拦截提示特征 | 安全设备的拦截日志 |
| 文件系统权限 | 路径存在但运行用户读不到 | 文件属主与权限位、运行用户身份 |
排查顺序
- 先看响应体风格：应用自带的错误结构指向权限判定，空白页或拦截提示指向策略层
- 再核对请求身份：把同一凭证换成管理员验证，确认是否只是角色配置问题
- 用命令行带上来源头复现一次，判断是否与浏览器行为或引用来源有关
- 检查文件系统层面：目录不可执行或文件不可读都会呈现为拒绝访问
敏感资源可以用「找不到」代替「拒绝访问」来隐藏存在性，但面向内部调用方的接口建议如实返回拒绝访问，否则调用方会把权限问题误判为地址写错，白跑一趟。
文件读取权限问题也常表现为拒绝访问：Web 服务运行用户读不到文件时，页面给出的现象与权限不足几乎一致，直接去改业务权限配置会完全跑偏方向。
四类最常见的误判
- 把来源限制当成权限问题：先确认请求是否通过了网络层的放通规则
- 把文件读取失败当成授权拒绝：路径存在但运行用户无权限时，现象几乎一致
- 把安全设备拦截当成应用错误：拦截往往故意伪装成拒绝访问，需对照设备日志
- 把缓存的旧响应当成实时结果：权限调整后被缓存的拒绝响应仍会持续一段时间
如何减少误报
- 把拒绝的真实原因（权限不足、来源限制、策略拦截）写进日志，不要只记一个状态码
- 对内接口如实返回拒绝访问，对外资源可以隐藏存在性，两套策略分开配置
- 权限调整后关注缓存：被缓存的拒绝响应会让人误以为改动没有生效
- 定期核对运行用户对站点目录的权限，避免部署脚本改动后悄悄改坏权限