先分清是哪一种 403 再动手
403 有两种完全不同的来源，混着查只会越查越乱。一种是访问网站前台页面时返回 403，浏览器显示 Forbidden 或者一片空白。另一种是宝塔后台面板本身打不开，浏览器定位到 8888 端口时被拒绝。
区分方法很简单。先在服务器上用 curl 直接请求一下本地地址，比如 curl -I http://127.0.0.1，看返回的头部有没有 403。如果本机请求正常而外网访问 403，问题就在网络层、防火墙或 WAF。如果本机请求也是 403，问题在站点配置、文件权限或伪静态规则。
这一步做完，后面的排查范围能砍掉一半。
第一层查文件权限和所有者
这是最常见的一种。WordPress 站点目录权限被改乱、或者被别的用户占用，Nginx 读到文件就会直接拒绝。
正确权限是目录 755、文件 644，所有者和所属组要和运行 PHP 的用户一致。宝塔里可以直接在文件管理里看，也可以在命令行用 ls -l 看一眼前几行。整站所有者和站点目录不一致的情况，往往是被别的脚本、或者迁移压缩包解压时用了 root 造成的。
改法是两步走。先 chown 把整站目录的所有者改回站点用户，再 chmod 把权限纠正过来。同时要看一眼 index.php 和 wp-config.php 这两个文件有没有被设成 600 或者 644 以外的值。如果是 700 这种，PHP 读不到，403 就这么来的。这类权限问题在刚开完机器、目录还没被规范过的环境里特别常见，也是问主机商要一份初始站点快照最实际的用处。
还有一种隐蔽情况。网站目录里混进了 index.html 之类的静态首页，而伪静态规则优先匹配它，访问时被当成静态资源处理，权限不对就 403。这种删掉多余首页文件即可。
第二层查伪静态规则和目录索引
伪静态写错也会给出 403。典型现象是首页能开，点进分类页或文章页才 403，或者反过来。原因多半是 rewrite 规则里的路径最终指向了一个不存在的目录，Nginx 找不到文件，又不能回退到 index.php，就只能返回 403。
排查办法是把伪静态临时切成默认或者关掉，再访问同一地址。403 消失就说明是规则问题，重新贴一份官方推荐的规则即可。WordPress 站可以直接用宝塔里预设的那份，不要自己手改正则。
顺带检查一下站点配置里的目录索引设置。如果 disable 了 autoindex 又没有任何可用的首页文件，访问目录本身就会 403，这也是很多人第一次装完站看到 403 的原因，其实只是首页文件还没传上去。
第三层查防火墙和 IP 拦截
服务器系统防火墙、云厂商安全组、宝塔的防火墙插件，这三处任意一处挡了都会表现为 403 或者连接被拒。判断方法是看拦截日志里有没有你自己的 IP。
常见踩坑是自己把自己墙掉。比如装了防护插件后又开了「禁止海外访问」，结果自己用代理访问就进不去了。或者把某个 IP 段加进黑名单，恰好把自己的宽带出口也包含进去。
处理顺序是先在自己电脑换个网络试，如果换网络能进，那基本是 IP 被拦。这时进服务器把黑名单清掉，或者用临时白名单放行。这类问题后面还会反复出现，建议配一条固定的放行规则，别每次都从命令行找。
第四层查 WAF 和安全软件的拦截记录
WAF 类的拦截往往更隐蔽，因为它返回的也是一页 403，但页面上通常带厂商名或者拦截编号。看到页面底部有防护标识，就不用再查权限了，直接去拦截记录里搜访问时间和路径。
WordPress 的防护插件同样会拦截。有些插件的规则写得很激进，正常提交后台表单都会触发。判断特征是只有 POST 请求 403，GET 请求正常，或者只有登录、评论、搜索这几类地址 403。
处理办法是临时关掉对应插件或规则复测。确认是它拦的，就把触发的具体规则改成白名单，而不是整个防护都关掉。全关掉等于给攻击者开门，这个不要做。
第五层靠日志定位 再用配置回滚收尾
前面五层都没找到，就去看日志。Nginx 的 access.log 里能看到请求的真实状态码和来源，error.log 里会写清楚拒绝的具体原因，比如 client denied by server configuration 这类提示直接指向配置项。
看日志的要点是只看出问题的那几十条，不要整份文件从头读。用 tail 配合 grep 筛出 403 的行，看它们的共同点，是同一个 IP、同一个目录、还是同一类路径。
最后一步是回滚。如果 403 是在装了某个插件、改了伪静态、升了 PHP 版本之后出现的，就把那一步撤回去验证。多数 403 都是最近一次改动的连带效果，这也是排查时最该问自己的问题。拿不准的时候，选主机商开工时提供的站点快照能救命，回滚一个快照比逐项排查快得多。更多宝塔面板和 WordPress 报错的排查流程，可以去zhujishang.com翻相关文章。
