lighttpd对原正常运行的Python脚本返回403错误排查求助

针对你在Raspberry Pi OS新环境（Python 3.11.2 + lighttpd 1.4.69）中访问窑炉控制器CGI脚本返回403的问题，给出以下具体排查步骤：

• 检查项目目录的上级路径权限
  即使/home/pi/PILN设为777，/home/pi目录需要至少有**执行权限（x）**供www-data用户访问。执行以下命令修改权限：

  chmod o+x /home/pi
  

  这是常见的权限遗漏点，旧环境可能默认配置了该权限，新系统可能更严格。

• 验证CGI脚本的可执行性与shebang行

  1. 确认home.cgi的第一行shebang指向正确的Python路径：

     head -n 1 /home/pi/PILN/app/home.cgi
     

     需确保为#!/usr/bin/python3（新环境中该路径已指向Python 3.11）。
  2. 手动切换到www-data用户执行脚本，验证是否能正常输出CGI头和内容：

     sudo -u www-data /home/pi/PILN/app/home.cgi
     

     如果执行报错，说明脚本本身存在依赖问题（如jinja2无法导入）或语法错误，需优先修复脚本问题。

• 检查lighttpd的MIME类型配置
  新版本lighttpd的自动生成MIME配置可能未正确关联.cgi文件，手动在lighttpd.conf中添加映射：

  mimetype.assign += ( ".cgi" => "application/x-cgi" )
  

  添加后重启lighttpd：sudo systemctl restart lighttpd

• 查看access.log获取403详情
  仅查看error.log不足以定位问题，access.log会记录403错误的具体原因。执行以下命令实时监控日志：

  tail -f /var/log/lighttpd/access.log
  

  访问http://IPAddress/app/home.cgi后，查看日志条目中的状态码附加信息（如403 Forbidden (access denied)或403 Forbidden (CGI execution not allowed)）。

• 排查AppArmor限制
  新Raspberry Pi OS可能默认启用AppArmor，限制lighttpd访问用户目录或执行脚本：

  1. 检查lighttpd的AppArmor状态：

     aa-status | grep lighttpd
     

  2. 临时禁用AppArmor规则测试：

     sudo aa-disable /etc/apparmor.d/usr.sbin.lighttpd
     

     若问题解决，需修改AppArmor规则，添加对/home/pi/PILN/目录的访问权限。

• 对比lighttpd版本配置差异
  从1.4.59升级到1.4.69后，部分默认安全策略更严格：

  • 检查是否启用了server.follow-symlink = "disable"，若项目中存在软链接会导致访问被拒；
  • 确认mod_cgi的cgi.execute-x-only配置，若设为enable，脚本必须有可执行权限（777已满足，但需确认x位是否生效）。

内容的提问来源于stack exchange，提问作者alforddm