Apache报403的根本原因是权限不匹配而非权限不够，需确认进程UID/GID、分层设置目录与文件权限（如目录755、PHP文件644）、上传目录用组写权限而非777，并排查SELinux/AppArmor拦截。
Apache 报 403 的根本原因不是“权限不够”，而是“权限不匹配”
直接改 chmod 777 或 chown www-data:www-data 往往无效，甚至更糟。Apache（或 PHP-FPM）能否读取文件，取决于三个角色的权限交集：文件所有者、所属组、其他用户；而 Apache 进程实际以哪个用户身份运行（www-data、apache、daemon 等），决定了它走的是“所有者”还是“组”还是“其他”这一条路。不查清进程 UID/GID，盲目 chmod/chown 就是碰运气。
确认 Apache 进程实际运行用户
别猜，用命令看：
ps aux | grep -E '(apache|httpd|www-data)'
关注输出中 USER 列（如 www-data）和对应 PID 的启动命令。再验证该用户的 UID 和 GID：
id -u www-data
id -g www-data
- Debian/Ubuntu 默认是
www-data用户 +www-data组 - CentOS/RHEL 默认是
apache用户 +apache组 - 如果用了 PHP-FPM，要查
www.conf里的user和group配置项，不是 Apache 自身的用户
目录与文件权限必须分层设置
Web 根目录（如 /var/www/html）和子目录、PHP 文件、静态资源，权限逻辑不同：
立即学习“PHP免费学习笔记（深入）”；
- 目录必须有
x权限（否则 Apache 无法进入），推荐755（所有者 rwx，组 r-x，其他 r-x） - PHP 脚本文件需可读，一般
644即可（无需执行权限，由 PHP 解释器执行） - 上传目录（如
uploads/）若需写入，应确保 Apache 用户对该目录有w权限 —— 最稳妥方式是把该目录属组设为 Apache 组，并加g+w，而非用777 -
chmod -R 777是高危操作，会把 .htaccess、配置文件等也暴露为可写，极易被利用
SELinux 或 AppArmor 也会拦截，别只盯 chmod
在 CentOS/RHEL 或启用了安全模块的系统上，即使传统权限全开，仍可能报 403。检查是否启用：
sestatus
aa-status
临时测试是否是它导致：
sudo setenforce 0 # SELinux 临时禁用
# 或
sudo systemctl stop apparmor # Ubuntu
- 如果是 SELinux，正确做法是用
chcon设置上下文，例如：chcon -R -t httpd_sys_content_t /var/www/htmlchcon -R -t httpd_sys_rw_content_t /var/www/html/uploads - AppArmor 需检查
/etc/apparmor.d/usr.sbin.apache2是否允许访问目标路径
SELinux 上下文错误比文件权限错误更隐蔽，且不会在 error_log 里明确提示“SELinux denied”，只会记一条模糊的 “Permission denied”。
